# SAP Security Patch Day wrzesień 2026 - cztery noty krytyczne i czterech różnych właścicieli > 20 pozycji z 8 września 2026, cztery krytyczne, nagłówkowa z oceną 10,0 w jądrze i Web Dispatcherze. Kogo dotyczą, co wymusza ustawa o KSC i jak to sprawdzić. - Source: https://snok.ai/pl/aktualnosci/blog/bezpieczny-wtorek-sap-patch-day-wrzesien-2026/ - Author: Michał Korzeń - Published: 2026-09-08 --- Drugi wtorek miesiąca, **SAP Security Patch Day**, ktoś w firmie z systemami SAP otwiera listę i zaczyna czytać. Wrześniowa lista jest wyraźnie krótsza od sierpniowej: **20 pozycji** wobec 31 przed miesiącem, z tego 19 nowych **SAP Security Notes** i jedna aktualizacja noty sierpniowej. Rozkład: 4 krytyczne, 5 wysokich, 10 średnich i 1 niska. Wygląda to na spokojny miesiąc. Nie jest. Na czele nota **3747649** (CVE-2026-44756) z oceną CVSS **10,0**, czyli sufitem skali. Podatność typu Memory Corruption siedzi w obsłudze SAP Extended Passport (EPP) Processing, a łatka trafia na poziom **jądra oraz SAP Web Dispatchera**. Ocena nie bierze się z retoryki, tylko z wektora: atak po sieci, bez uwierzytelnienia, o niskiej złożoności, ze zmianą zakresu i pełnym wpływem na poufność, integralność i dostępność. To druga nota 10,0 w dwóch kolejnych miesiącach - pierwsze dwa takie miesiące w 2026 roku. **W skrócie:** **1/** nota 3747649 z oceną 10,0 dotyczy wybranych wersji jądra (KERNEL od 7.22 do 9.20, KRNL64NUC i KRNL64UC) oraz Web Dispatchera (WEBDISP 9.16-9.20), więc jej wdrożenie to wymiana jądra i restart instancji, a nie import transportu, **2/** cztery noty krytyczne leżą w **czterech różnych warstwach**: jądro, Message Server, biblioteka npm w aplikacji CAP na SAP BTP oraz SAP GUI for Java na stacji roboczej, **3/** podatność z oceną 10,0 siedzi w torze diagnostycznym, nie w funkcji biznesowej - nie ma modułu do wyłączenia ani uprawnienia do odebrania, **4/** ustawa o KSC liczy 24 godziny na wczesne ostrzeżenie i 72 godziny na zgłoszenie incydentu poważnego **od wykrycia**, a wniosek o wpis do wykazu podmiotów kluczowych i ważnych składa się do 3 października 2026. ![SAP Security Patch Day wrzesień 2026 - pierścień z rozkładem 20 pozycji na cztery krytyczne, pięć wysokich, dziesięć średnich i jedną niską, nota 3747649 z oceną 10,0 oraz cztery warstwy, w których leżą noty krytyczne: jądro z Web Dispatcherem, Message Server, biblioteka npm w aplikacji CAP i SAP GUI for Java](https://snok.ai/images/blog/bezpieczny-wtorek-sap-patch-day-wrzesien-2026-anim.gif) --- ## Co wyszło 8 września Pełna lista liczy 20 pozycji. Poniżej te, które w typowym landscape decydują o kolejności prac. | Nota | CVE | CVSS | Komponent | Rzecz do zapamiętania | |---|---|---|---|---| | **3747649** | CVE-2026-44756 | **10,0** | SAP Extended Passport (EPP) Processing - jądro i Web Dispatcher | Bez konta, po sieci, ze zmianą zakresu; remedium to nowe jądro | | 3759472 | CVE-2026-58240 | 9,8 | SAP NetWeaver (Message Server), KERNEL 9.16-9.20 | Brak weryfikacji autentyczności serwerów aplikacyjnych przy rejestracji | | 3798315 | CVE-2026-76969 | 9,4 | Biblioteka @sap/cds-mtxs (SAP Cloud Application Programming Model) | Ujawnienie poświadczeń; wdrożenie przez podniesienie wersji pakietu npm | | 3781729 | CVE-2026-66768 | 9,0 | SAP NetWeaver (SAP GUI for Java), BC-FES-JAV 8.10 | Łatka trafia na stację roboczą użytkownika, nie na serwer | | 3772411 | CVE-2026-58243 | 8,8 | SAP ABAP Developer Tools, SAP_BASIS 750-920 | Jedyna w tym miesiącu aktualizacja noty sierpniowej | | 3792978 | CVE-2026-76958 | 8,5 | SAP Integration Suite (Cloud Integration) | XML External Entity w wymianie B2B | | 3784138 | CVE-2026-76967 | 7,8 | SAP NetWeaver Business Client, BC-WD-CLT-BUS 8.00 i 8.10 | Niebezpieczna deserializacja - znów komponent po stronie klienta | | 3757002 | CVE-2026-66767 | 7,7 | SAP NetWeaver AS ABAP / ABAP Platform, KERNEL 7.22-9.20 | Druga w tym miesiącu łatka na poziomie jądra | | 3791068 | CVE-2026-2332 | 7,4 | SAP Commerce Cloud (Search and Navigation) | CRLF Injection przez komponenty Jetty, czyli kod spoza SAP | Pozostałe pozycje to w większości warstwa aplikacyjna: SQL Injection w uzgodnieniach międzyfirmowych w SAP S/4HANA, Server-Side Request Forgery w SAP Manufacturing Integration and Intelligence, trzy noty CSRF w SAP S/4HANA Finance for Advanced Payment Management, clickjacking w SAPUI5 oraz jedna pozycja niska - odmowa usługi w adapterze SOAP SAP Process Integration. Jedna uwaga o źródłach, bo się w tym miesiącu rozjeżdżają. Onapsis w analizie z tego samego dnia podaje 22 noty i pięć pozycji krytycznych. My trzymamy się liczb z portalu wsparcia SAP - 20 pozycji i cztery krytyczne - bo to portal rozstrzyga skład listy, a różnica bierze się najpewniej z doliczenia aktualizacji not z wcześniejszych miesięcy. ## Cztery noty krytyczne, czterech różnych właścicieli Sierpień był miesiącem o skali: 31 pozycji, sześć not w jednej warstwie produkcyjnej, dużo czytania. Wrzesień jest o czymś innym i trudniejszym do obsłużenia. Krótsza lista rozkłada się na cztery zespoły naraz. **Jądro i Web Dispatcher (nota 3747649, 10,0).** Wdrożeniem jest wymiana jądra i restart instancji. To znaczy okno serwisowe, uzgodnienie z biznesem i test regresji, a więc decyzja, którą podejmuje się kalendarzem, nie kliknięciem. Nota 3757002 z oceną 7,7 dotyczy tej samej warstwy, więc obie da się zamknąć jednym oknem - pod warunkiem że ktoś to zauważy, zanim zaplanuje dwa osobne. **Message Server (nota 3759472, 9,8).** Warstwa komunikacji wewnętrznej między instancjami tego samego systemu. Nie ma tu ekranu, użytkownika ani transakcji, więc nie pojawia się w rozmowie o ryzyku biznesowym. Message Server niedostatecznie sprawdza autentyczność serwerów aplikacyjnych zgłaszających się do rejestracji. **Biblioteka npm w aplikacji CAP (nota 3798315, 9,4).** Pakiet `@sap/cds-mtxs` obsługuje wielodostępność w aplikacjach budowanych na SAP Cloud Application Programming Model. Właścicielem jest zespół rozwoju na SAP BTP, remedium jest podniesienie wersji pakietu, a całość dzieje się w repozytorium kodu i w potoku wdrożeniowym. Zespół Basis nie ma tu ani narzędzia, ani dostępu. **SAP GUI for Java (nota 3781729, 9,0).** Łatka trafia na stację roboczą użytkownika. W wielu organizacjach ta warstwa nie ma żadnego cyklu patchowania, nie figuruje na liście systemów SAP i należy formalnie do zespołu utrzymania stacji roboczych, który o notach SAP nie słyszał. Zdanie, które warto zabrać z tego wpisu: **cztery noty krytyczne, czterech różnych właścicieli - i żaden z nich nie siedzi w zespole, który w drugi wtorek miesiąca dostaje listę not.** To jest dokładnie ten moment, w którym proces pęka. Nie przy instalacji poprawki, tylko przy ustaleniu, kto ma ją zainstalować. Typowa ścieżka zakłada jednego adresata i jeden kanał: nota, ocena, transport, okno serwisowe. Pozycja, która nie mieści się w tym kanale, nie zostaje odrzucona - ona po prostu nie ma komu zostać przekazana. W rejestrze wygląda tak samo jak każda inna, tyle że nikt nie zamyka jej statusu, bo nikt nie ma do niej dostępu. ## Podatność siedzi w torze diagnostycznym, nie w funkcji biznesowej SAP Passport to rozszerzenie protokołów komunikacyjnych SAP - identyfikator GUID wraz z flagami śledzenia, wstrzykiwany po stronie klienta i przekazywany z systemu do systemu w ruchu HTTP i RFC. Służy do tego, żeby dało się prześledzić jedno żądanie przez cały landscape; SAP opisuje ten mechanizm w dokumentacji End-to-End Trace Analysis. Konsekwencja jest niewygodna. Przy podatności w module biznesowym zwykle istnieje obejście doraźne: można odebrać uprawnienie, wyłączyć usługę, zamknąć aplikację Fiori do czasu okna serwisowego. Tutaj nie ma czego wyłączyć, bo obsługa nagłówka jest częścią jądra i Web Dispatchera, a nie funkcją, którą ktoś włączył. Wektor mówi `PR:N`, czyli atak nie wymaga konta w systemie, i `AV:N`, czyli wystarczy dostęp sieciowy do komponentu. Zmiana zakresu (`S:C`) oznacza, że skutek nie zatrzymuje się na granicy podatnego komponentu. Web Dispatcher zasługuje w tym miejscu na osobne zdanie, bo w większości architektur stoi najbliżej sieci - to on przyjmuje ruch HTTP zanim dojdzie on do serwerów aplikacyjnych. Komponent wystawiony na zewnątrz i podatność, która nie wymaga konta, to zestawienie, przy którym kolejność prac ustala się sama. ## Czego dokładnie wymaga od Was prawo Ustawa o krajowym systemie cyberbezpieczeństwa w brzmieniu obowiązującym od 3 kwietnia 2026 nie zawiera przepisu „należy instalować łatki". Zawiera obowiązek stosowania środków adekwatnych do ryzyka oraz terminy zgłoszeń: **wczesne ostrzeżenie w 24 godziny, zgłoszenie incydentu poważnego w 72 godziny, sprawozdanie końcowe w miesiąc**. Wszystkie liczone od wykrycia, nie od publikacji noty. Rozproszenie własności z tego miesiąca dotyka tej konstrukcji wprost. „Środki adekwatne do ryzyka" obejmują całą powierzchnię, na której organizacja przetwarza dane w SAP, a nie tylko serwery aplikacyjne. Stacja robocza z SAP GUI for Java i aplikacja CAP na SAP BTP należą do tej powierzchni tak samo jak system produkcyjny. Organizacja, która potrafi udokumentować proces patchowania wyłącznie dla warstwy ABAP, ma opisaną część zakresu, a nie zakres. Druga konsekwencja dotyczy zegara. Podmiot, który nie potrafi wykryć wykorzystania luki, formalnie nie uruchamia terminów - i bywa, że traktuje to jako brak problemu. W postępowaniu wygląda to odwrotnie: nieznajomość własnego stanu jest dowodem na brak środków adekwatnych do ryzyka, a nie okolicznością łagodzącą. Kara dla podmiotu kluczowego sięga 10 mln EUR albo 2 % przychodu, dla podmiotu ważnego 7 mln EUR albo 1,4 %. Do tego dochodzi warstwa danych osobowych. Jeżeli przez niezałataną lukę wyciekną dane z SAP, RODO daje 72 godziny na zgłoszenie do PUODO od stwierdzenia naruszenia, a artykuł 83 pozwala na kary do 20 mln EUR albo 4 % obrotu. Terminy i zależności opisaliśmy w [osobnym wpisie o KSC i NIS2](https://snok.ai/pl/aktualnosci/blog/ksc-nis2-sap-securitybridge/). I jedna data, która nie ma nic wspólnego z wrześniowymi notami, a jest ważniejsza od każdej z nich: **wniosek o wpis do wykazu podmiotów kluczowych i ważnych trzeba złożyć do 3 października 2026**. Wypełnienie go wymaga ustaleń, które w wielu firmach jeszcze nie zapadły - kto jest właścicielem procesu, jakie systemy obejmuje zgłoszenie i kto to podpisuje. ## Sprawdźcie, gdzie stoicie, zanim zapyta ktoś z zewnątrz **SNOK KSC-CHECK to bezpłatne badanie gotowości systemów SAP na wymogi KSC i NIS2**: 25 pytań w 6 krokach, 5 obszarów, od 8 do 12 minut. Wynik pojawia się od razu na ekranie, a raport PDF z planem na 30 dni i na 12 miesięcy przychodzi na wskazany adres. Pięć obszarów badania to widoczność zdarzeń, wykrywanie i reakcja, podatności, tożsamość i dostęp oraz dowody dla audytu. Wrześniowa lista dotyka obszaru podatności wyjątkowo boleśnie, bo pytania w nim nie brzmią „czy patchujecie", tylko czyja to jest praca i jak wygląda ścieżka od publikacji noty do wdrożenia. Przy czterech krytycznych notach w czterech warstwach odpowiedź „mamy to w Basis" opisuje jedną czwartą problemu. Jedna granica, którą stawiamy wprost: to samoocena, nie audyt i nie potwierdzenie zgodności. Badanie pokazuje, gdzie macie luki i co domknąć w pierwszej kolejności. Nie zastąpi przeglądu technicznego systemu ani decyzji prawnej o statusie podmiotu. [Przejdźcie badanie KSC-CHECK](https://snok.ai/pl/narzedzia/ksc-check/) - jeżeli po ośmiu minutach okaże się, że proces patchowania macie opisany, obsadzony i udokumentowany dla wszystkich czterech warstw, to najlepszy możliwy wynik tego wpisu. ## Jak przestać zaczynać od zera każdego drugiego wtorku Comiesięczne czytanie listy not to praca, którą da się wykonać raz i zautomatyzować. Warunek jest jeden: narzędzie musi znać Wasz landscape - wersje, komponenty, poziom jądra, zainstalowane pakiety. Do tego służy **Patch Management w SecurityBridge**: opublikowane noty są automatycznie mapowane na konkretne systemy, więc zamiast listy dla całego świata SAP dostajecie listę dla siebie, z priorytetem i stanem wdrożenia. Wrzesień jest wzorcowym przykładem, bo ręczna klasyfikacja czterech krytycznych not rozrzuconych po czterech warstwach gubi zwykle co najmniej jedną - i statystycznie jest to ta, która nie leży na serwerze. Mapowanie oparte na stanie systemów odpowiada też na pytanie odwrotne, równie ważne: czego w Waszym landscape po prostu nie ma i co można w tym miesiącu odłożyć świadomie, a nie z braku czasu. SNOK ma status [SecurityBridge Polska Premier Partner](https://snok.ai/pl/securitybridge-snok/), więc wdrożenie i utrzymanie prowadzimy u siebie, w języku polskim i w polskiej strefie czasowej. ## Co zrobić w tym tygodniu **1/** Rozpiszcie cztery wrześniowe noty krytyczne na cztery nazwiska. Nie na zespoły - na osoby, które mają dostęp do właściwej warstwy: jądro i Web Dispatcher (3747649), Message Server (3759472), repozytorium aplikacji CAP na SAP BTP (3798315) i flota stacji roboczych z SAP GUI for Java (3781729). Jeżeli przy którejś pozycji nazwisko nie wpisuje się od ręki, to jest Wasze najważniejsze ustalenie z tego miesiąca, ważniejsze od samej łatki. Przy okazji sprawdźcie, czy wymianę jądra da się zamknąć jednym oknem serwisowym razem z notą 3757002. **2/** [Przejdźcie badanie KSC-CHECK](https://snok.ai/pl/narzedzia/ksc-check/) i zabierzcie raport na najbliższe spotkanie zarządu razem z listą z punktu pierwszego. Termin 3 października dotyczy zarządu, nie działu IT, a rozproszenie własności patchowania jest tematem organizacyjnym, nie technicznym. Poprzednie wydanie serii, z sierpniowymi 31 pozycjami i notą 3771065, znajdziecie [tutaj](https://snok.ai/pl/aktualnosci/blog/bezpieczny-wtorek-sap-patch-day-sierpien-2026/). Jeżeli po tych dwóch krokach wyjdzie, że brakuje rąk albo narzędzi, [napiszcie do nas](https://snok.ai/pl/kontakt/). Zaczynamy od przeglądu stanu faktycznego, nie od wyceny.