Drugi wtorek miesiąca, SAP Security Patch Day, ktoś w firmie z systemami SAP otwiera listę i zaczyna czytać. Wrześniowa lista jest wyraźnie krótsza od sierpniowej: 20 pozycji wobec 31 przed miesiącem, z tego 19 nowych SAP Security Notes i jedna aktualizacja noty sierpniowej. Rozkład: 4 krytyczne, 5 wysokich, 10 średnich i 1 niska. Wygląda to na spokojny miesiąc. Nie jest.
Na czele nota 3747649 (CVE-2026-44756) z oceną CVSS 10,0, czyli sufitem skali. Podatność typu Memory Corruption siedzi w obsłudze SAP Extended Passport (EPP) Processing, a łatka trafia na poziom jądra oraz SAP Web Dispatchera. Ocena nie bierze się z retoryki, tylko z wektora: atak po sieci, bez uwierzytelnienia, o niskiej złożoności, ze zmianą zakresu i pełnym wpływem na poufność, integralność i dostępność. To druga nota 10,0 w dwóch kolejnych miesiącach - pierwsze dwa takie miesiące w 2026 roku.
W skrócie:
1/ nota 3747649 z oceną 10,0 dotyczy wybranych wersji jądra (KERNEL od 7.22 do 9.20, KRNL64NUC i KRNL64UC) oraz Web Dispatchera (WEBDISP 9.16-9.20), więc jej wdrożenie to wymiana jądra i restart instancji, a nie import transportu,
2/ cztery noty krytyczne leżą w czterech różnych warstwach: jądro, Message Server, biblioteka npm w aplikacji CAP na SAP BTP oraz SAP GUI for Java na stacji roboczej,
3/ podatność z oceną 10,0 siedzi w torze diagnostycznym, nie w funkcji biznesowej - nie ma modułu do wyłączenia ani uprawnienia do odebrania,
4/ ustawa o KSC liczy 24 godziny na wczesne ostrzeżenie i 72 godziny na zgłoszenie incydentu poważnego od wykrycia, a wniosek o wpis do wykazu podmiotów kluczowych i ważnych składa się do 3 października 2026.
Co wyszło 8 września
Pełna lista liczy 20 pozycji. Poniżej te, które w typowym landscape decydują o kolejności prac.
| Nota | CVE | CVSS | Komponent | Rzecz do zapamiętania |
|---|---|---|---|---|
| 3747649 | CVE-2026-44756 | 10,0 | SAP Extended Passport (EPP) Processing - jądro i Web Dispatcher | Bez konta, po sieci, ze zmianą zakresu; remedium to nowe jądro |
| 3759472 | CVE-2026-58240 | 9,8 | SAP NetWeaver (Message Server), KERNEL 9.16-9.20 | Brak weryfikacji autentyczności serwerów aplikacyjnych przy rejestracji |
| 3798315 | CVE-2026-76969 | 9,4 | Biblioteka @sap/cds-mtxs (SAP Cloud Application Programming Model) | Ujawnienie poświadczeń; wdrożenie przez podniesienie wersji pakietu npm |
| 3781729 | CVE-2026-66768 | 9,0 | SAP NetWeaver (SAP GUI for Java), BC-FES-JAV 8.10 | Łatka trafia na stację roboczą użytkownika, nie na serwer |
| 3772411 | CVE-2026-58243 | 8,8 | SAP ABAP Developer Tools, SAP_BASIS 750-920 | Jedyna w tym miesiącu aktualizacja noty sierpniowej |
| 3792978 | CVE-2026-76958 | 8,5 | SAP Integration Suite (Cloud Integration) | XML External Entity w wymianie B2B |
| 3784138 | CVE-2026-76967 | 7,8 | SAP NetWeaver Business Client, BC-WD-CLT-BUS 8.00 i 8.10 | Niebezpieczna deserializacja - znów komponent po stronie klienta |
| 3757002 | CVE-2026-66767 | 7,7 | SAP NetWeaver AS ABAP / ABAP Platform, KERNEL 7.22-9.20 | Druga w tym miesiącu łatka na poziomie jądra |
| 3791068 | CVE-2026-2332 | 7,4 | SAP Commerce Cloud (Search and Navigation) | CRLF Injection przez komponenty Jetty, czyli kod spoza SAP |
Pozostałe pozycje to w większości warstwa aplikacyjna: SQL Injection w uzgodnieniach międzyfirmowych w SAP S/4HANA, Server-Side Request Forgery w SAP Manufacturing Integration and Intelligence, trzy noty CSRF w SAP S/4HANA Finance for Advanced Payment Management, clickjacking w SAPUI5 oraz jedna pozycja niska - odmowa usługi w adapterze SOAP SAP Process Integration.
Jedna uwaga o źródłach, bo się w tym miesiącu rozjeżdżają. Onapsis w analizie z tego samego dnia podaje 22 noty i pięć pozycji krytycznych. My trzymamy się liczb z portalu wsparcia SAP - 20 pozycji i cztery krytyczne - bo to portal rozstrzyga skład listy, a różnica bierze się najpewniej z doliczenia aktualizacji not z wcześniejszych miesięcy.
Cztery noty krytyczne, czterech różnych właścicieli
Sierpień był miesiącem o skali: 31 pozycji, sześć not w jednej warstwie produkcyjnej, dużo czytania. Wrzesień jest o czymś innym i trudniejszym do obsłużenia. Krótsza lista rozkłada się na cztery zespoły naraz.
Jądro i Web Dispatcher (nota 3747649, 10,0). Wdrożeniem jest wymiana jądra i restart instancji. To znaczy okno serwisowe, uzgodnienie z biznesem i test regresji, a więc decyzja, którą podejmuje się kalendarzem, nie kliknięciem. Nota 3757002 z oceną 7,7 dotyczy tej samej warstwy, więc obie da się zamknąć jednym oknem - pod warunkiem że ktoś to zauważy, zanim zaplanuje dwa osobne.
Message Server (nota 3759472, 9,8). Warstwa komunikacji wewnętrznej między instancjami tego samego systemu. Nie ma tu ekranu, użytkownika ani transakcji, więc nie pojawia się w rozmowie o ryzyku biznesowym. Message Server niedostatecznie sprawdza autentyczność serwerów aplikacyjnych zgłaszających się do rejestracji.
Biblioteka npm w aplikacji CAP (nota 3798315, 9,4). Pakiet @sap/cds-mtxs obsługuje wielodostępność w aplikacjach budowanych na SAP Cloud Application Programming Model. Właścicielem jest zespół rozwoju na SAP BTP, remedium jest podniesienie wersji pakietu, a całość dzieje się w repozytorium kodu i w potoku wdrożeniowym. Zespół Basis nie ma tu ani narzędzia, ani dostępu.
SAP GUI for Java (nota 3781729, 9,0). Łatka trafia na stację roboczą użytkownika. W wielu organizacjach ta warstwa nie ma żadnego cyklu patchowania, nie figuruje na liście systemów SAP i należy formalnie do zespołu utrzymania stacji roboczych, który o notach SAP nie słyszał.
Zdanie, które warto zabrać z tego wpisu: cztery noty krytyczne, czterech różnych właścicieli - i żaden z nich nie siedzi w zespole, który w drugi wtorek miesiąca dostaje listę not.
To jest dokładnie ten moment, w którym proces pęka. Nie przy instalacji poprawki, tylko przy ustaleniu, kto ma ją zainstalować. Typowa ścieżka zakłada jednego adresata i jeden kanał: nota, ocena, transport, okno serwisowe. Pozycja, która nie mieści się w tym kanale, nie zostaje odrzucona - ona po prostu nie ma komu zostać przekazana. W rejestrze wygląda tak samo jak każda inna, tyle że nikt nie zamyka jej statusu, bo nikt nie ma do niej dostępu.
Podatność siedzi w torze diagnostycznym, nie w funkcji biznesowej
SAP Passport to rozszerzenie protokołów komunikacyjnych SAP - identyfikator GUID wraz z flagami śledzenia, wstrzykiwany po stronie klienta i przekazywany z systemu do systemu w ruchu HTTP i RFC. Służy do tego, żeby dało się prześledzić jedno żądanie przez cały landscape; SAP opisuje ten mechanizm w dokumentacji End-to-End Trace Analysis.
Konsekwencja jest niewygodna. Przy podatności w module biznesowym zwykle istnieje obejście doraźne: można odebrać uprawnienie, wyłączyć usługę, zamknąć aplikację Fiori do czasu okna serwisowego. Tutaj nie ma czego wyłączyć, bo obsługa nagłówka jest częścią jądra i Web Dispatchera, a nie funkcją, którą ktoś włączył. Wektor mówi PR:N, czyli atak nie wymaga konta w systemie, i AV:N, czyli wystarczy dostęp sieciowy do komponentu. Zmiana zakresu (S:C) oznacza, że skutek nie zatrzymuje się na granicy podatnego komponentu.
Web Dispatcher zasługuje w tym miejscu na osobne zdanie, bo w większości architektur stoi najbliżej sieci - to on przyjmuje ruch HTTP zanim dojdzie on do serwerów aplikacyjnych. Komponent wystawiony na zewnątrz i podatność, która nie wymaga konta, to zestawienie, przy którym kolejność prac ustala się sama.
Czego dokładnie wymaga od Was prawo
Ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu obowiązującym od 3 kwietnia 2026 nie zawiera przepisu „należy instalować łatki“. Zawiera obowiązek stosowania środków adekwatnych do ryzyka oraz terminy zgłoszeń: wczesne ostrzeżenie w 24 godziny, zgłoszenie incydentu poważnego w 72 godziny, sprawozdanie końcowe w miesiąc. Wszystkie liczone od wykrycia, nie od publikacji noty.
Rozproszenie własności z tego miesiąca dotyka tej konstrukcji wprost. „Środki adekwatne do ryzyka“ obejmują całą powierzchnię, na której organizacja przetwarza dane w SAP, a nie tylko serwery aplikacyjne. Stacja robocza z SAP GUI for Java i aplikacja CAP na SAP BTP należą do tej powierzchni tak samo jak system produkcyjny. Organizacja, która potrafi udokumentować proces patchowania wyłącznie dla warstwy ABAP, ma opisaną część zakresu, a nie zakres.
Druga konsekwencja dotyczy zegara. Podmiot, który nie potrafi wykryć wykorzystania luki, formalnie nie uruchamia terminów - i bywa, że traktuje to jako brak problemu. W postępowaniu wygląda to odwrotnie: nieznajomość własnego stanu jest dowodem na brak środków adekwatnych do ryzyka, a nie okolicznością łagodzącą. Kara dla podmiotu kluczowego sięga 10 mln EUR albo 2 % przychodu, dla podmiotu ważnego 7 mln EUR albo 1,4 %.
Do tego dochodzi warstwa danych osobowych. Jeżeli przez niezałataną lukę wyciekną dane z SAP, RODO daje 72 godziny na zgłoszenie do PUODO od stwierdzenia naruszenia, a artykuł 83 pozwala na kary do 20 mln EUR albo 4 % obrotu. Terminy i zależności opisaliśmy w osobnym wpisie o KSC i NIS2.
I jedna data, która nie ma nic wspólnego z wrześniowymi notami, a jest ważniejsza od każdej z nich: wniosek o wpis do wykazu podmiotów kluczowych i ważnych trzeba złożyć do 3 października 2026. Wypełnienie go wymaga ustaleń, które w wielu firmach jeszcze nie zapadły - kto jest właścicielem procesu, jakie systemy obejmuje zgłoszenie i kto to podpisuje.
Sprawdźcie, gdzie stoicie, zanim zapyta ktoś z zewnątrz
SNOK KSC-CHECK to bezpłatne badanie gotowości systemów SAP na wymogi KSC i NIS2: 25 pytań w 6 krokach, 5 obszarów, od 8 do 12 minut. Wynik pojawia się od razu na ekranie, a raport PDF z planem na 30 dni i na 12 miesięcy przychodzi na wskazany adres.
Pięć obszarów badania to widoczność zdarzeń, wykrywanie i reakcja, podatności, tożsamość i dostęp oraz dowody dla audytu. Wrześniowa lista dotyka obszaru podatności wyjątkowo boleśnie, bo pytania w nim nie brzmią „czy patchujecie“, tylko czyja to jest praca i jak wygląda ścieżka od publikacji noty do wdrożenia. Przy czterech krytycznych notach w czterech warstwach odpowiedź „mamy to w Basis“ opisuje jedną czwartą problemu.
Jedna granica, którą stawiamy wprost: to samoocena, nie audyt i nie potwierdzenie zgodności. Badanie pokazuje, gdzie macie luki i co domknąć w pierwszej kolejności. Nie zastąpi przeglądu technicznego systemu ani decyzji prawnej o statusie podmiotu.
Przejdźcie badanie KSC-CHECK - jeżeli po ośmiu minutach okaże się, że proces patchowania macie opisany, obsadzony i udokumentowany dla wszystkich czterech warstw, to najlepszy możliwy wynik tego wpisu.
Jak przestać zaczynać od zera każdego drugiego wtorku
Comiesięczne czytanie listy not to praca, którą da się wykonać raz i zautomatyzować. Warunek jest jeden: narzędzie musi znać Wasz landscape - wersje, komponenty, poziom jądra, zainstalowane pakiety.
Do tego służy Patch Management w SecurityBridge: opublikowane noty są automatycznie mapowane na konkretne systemy, więc zamiast listy dla całego świata SAP dostajecie listę dla siebie, z priorytetem i stanem wdrożenia. Wrzesień jest wzorcowym przykładem, bo ręczna klasyfikacja czterech krytycznych not rozrzuconych po czterech warstwach gubi zwykle co najmniej jedną - i statystycznie jest to ta, która nie leży na serwerze. Mapowanie oparte na stanie systemów odpowiada też na pytanie odwrotne, równie ważne: czego w Waszym landscape po prostu nie ma i co można w tym miesiącu odłożyć świadomie, a nie z braku czasu.
SNOK ma status SecurityBridge Polska Premier Partner, więc wdrożenie i utrzymanie prowadzimy u siebie, w języku polskim i w polskiej strefie czasowej.
Co zrobić w tym tygodniu
1/ Rozpiszcie cztery wrześniowe noty krytyczne na cztery nazwiska. Nie na zespoły - na osoby, które mają dostęp do właściwej warstwy: jądro i Web Dispatcher (3747649), Message Server (3759472), repozytorium aplikacji CAP na SAP BTP (3798315) i flota stacji roboczych z SAP GUI for Java (3781729). Jeżeli przy którejś pozycji nazwisko nie wpisuje się od ręki, to jest Wasze najważniejsze ustalenie z tego miesiąca, ważniejsze od samej łatki. Przy okazji sprawdźcie, czy wymianę jądra da się zamknąć jednym oknem serwisowym razem z notą 3757002.
2/ Przejdźcie badanie KSC-CHECK i zabierzcie raport na najbliższe spotkanie zarządu razem z listą z punktu pierwszego. Termin 3 października dotyczy zarządu, nie działu IT, a rozproszenie własności patchowania jest tematem organizacyjnym, nie technicznym.
Poprzednie wydanie serii, z sierpniowymi 31 pozycjami i notą 3771065, znajdziecie tutaj. Jeżeli po tych dwóch krokach wyjdzie, że brakuje rąk albo narzędzi, napiszcie do nas. Zaczynamy od przeglądu stanu faktycznego, nie od wyceny.