# SAP Security Patch Day - Lipiec 2026 > SAP Patch Day 14 lipca 2026: 4 podatności HotNews, memory corruption w NetWeaver AS ABAP (CVSS 9.9). Pełna lista not i kolejność patchowania. - Source: https://snok.ai/pl/aktualnosci/blog/bezpieczny-wtorek-ze-snok-sap-security-patch-day-lipiec-2026/ - Author: Jarosław Zdanowski - Published: 2026-07-14 --- SAP opublikował 14 lipca 2026 lipcowy pakiet poprawek bezpieczeństwa: **16 nowych not bezpieczeństwa, 1 advisory GitHub oraz 3 aktualizacje wcześniejszych not** - łącznie 20 pozycji do przejrzenia. Na szczycie stawki cztery podatności o priorytecie **HotNews**, z których najwyższa - memory corruption w NetWeaver AS ABAP - ma **CVSS 9.9**. **KLUCZOWE ZAGROŻENIA:** **1/** Memory Corruption w SAP NetWeaver AS ABAP (CVSS 9.9) - nota 3747367, **2/** HTTP Request Smuggling w SAP Approuter (CVSS 9.1) - nota 3720138, **3/** Niezabezpieczone poświadczenia testowe w SAP Commerce Cloud (CVSS 9.1) - nota 3753495, **4/** Directory Traversal w NetWeaver AS Java Web Container (CVSS 9.0) - nota 3727078. Dwie z czterech not HotNews oraz część not High Priority powstały we współpracy z Onapsis Research Labs. --- ## Co się stało - fakty W drugi wtorek lipca, zgodnie z comiesięcznym harmonogramem, SAP opublikował lipcowy Security Patch Day. Rozkład według priorytetu: - **4 HotNews** (CVSS 9.0-9.9) - **6 High Priority** (CVSS 7.6-8.8) - **8 Medium** (CVSS 4.1-6.1) - **2 Low** (CVSS 3.3-3.7) ![Skala zagrożeń SAP Security Patch Day lipiec 2026 - rozkład 4 HotNews, 6 High, 8 Medium, 2 Low](https://snok.ai/images/blog/bezpieczny-wtorek-ze-snok-sap-security-patch-day-lipiec-2026-donut.gif) Trzy pozycje to aktualizacje not z poprzednich miesięcy (m.in. czerwcowa nota o Directory Traversal w NetWeaver AS Java oraz aktualizacja dotycząca Apache Log4j). Jedna pozycja to advisory opublikowane w bazie GitHub Advisory dla komponentu `ui5/webcomponents-base`. To, co wyróżnia lipiec, to skala HotNews. Cztery noty w najwyższej kategorii w jednym miesiącu, z memory corruption na czele, to sytuacja wymagająca planu, nie pojedynczej łatki. --- ## Podatności krytyczne (HotNews) _Wymagają natychmiastowej reakcji - patching w oknie 24-72 godzin. Poniżej szczegółowy opis każdej podatności._ ### SAP Note 3747367 | CVE-2026-44747 | CVSS 9.9 | HotNews **Memory Corruption Vulnerability in SAP NetWeaver Application Server ABAP** **Komponent:** BC-FES-ITS (NetWeaver AS ABAP) | **Łatka dostarczana przez pakiety jądra:** KRNL64NUC 7.22, 7.22EXT; KRNL64UC 7.22, 7.53, 7.54, 7.77, 7.89, 7.93; KERNEL 9.16-9.20 **CVSS Vector:** CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H **Opis podatności** Błąd uszkodzenia pamięci w NetWeaver AS ABAP. Uwierzytelniony atakujący z niskimi uprawnieniami, działający zdalnie i bez interakcji użytkownika, może doprowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji, eskalacji uprawnień lub niedostępności systemu. Zmieniony scope (S:C) w wektorze CVSS oznacza, że skutki wychodzą poza komponent, w którym powstała podatność - stąd ocena 9.9 mimo wymaganego uwierzytelnienia. **Dlaczego to najważniejsza nota miesiąca** Łatka jest dostarczana przez pakiety jądra SAP, a zakres dotkniętych wersji (od 7.22 po 9.20) jest bardzo szeroki. W praktyce w większości krajobrazów SAP przynajmniej jeden system pracuje na jednej z tych wersji jądra - niezależnie od tego, czy to S/4HANA, czy klasyczny ECC. Dlatego reakcja zaczyna się od sprawdzenia poziomu patcha jądra, a nie od pojedynczego modułu. ### SAP Note 3720138 | CVE-2026-27690 | CVSS 9.1 | HotNews **HTTP Request Smuggling in SAP Approuter** **Komponent / wersje:** SAP Approuter (node.js w wersji < 20.10.0) **Opis podatności** Desynchronizacja żądań i odpowiedzi (request/response smuggling) umożliwia nieuwierzytelnionemu atakującemu spoza środowiska Cloud Foundry manipulację ruchem HTTP przechodzącym przez Approuter. Konsekwencje obejmują przemycanie żądań w tle legalnych sesji, zatrucie cache oraz obejście kontroli dostępu na warstwie routingu. Poprawka wiąże się z aktualizacją zależności node.js. ### SAP Note 3753495 | CVE-2026-44761 | CVSS 9.1 | HotNews **Insecure Sample Credentials in SAP Commerce Cloud** **Komponent / wersje:** HY_COM 2205; COM_CLOUD 2211, 2211-JDK21 **Opis podatności** Domyślne poświadczenia OAuth2 pozostawione w skryptach przykładowych (sample) trafiły do środowisk produkcyjnych. Znane, wbudowane poświadczenia to jedna z najprostszych do wykorzystania klas podatności - atakujący nie musi łamać zabezpieczeń, wystarczy, że zna dane, które są jawne w dokumentacji lub przykładach. Reakcja to nie tylko wgranie noty, ale też rotacja i unieważnienie poświadczeń, które mogły zostać ujawnione. ### SAP Note 3727078 | CVE-2026-40128 | CVSS 9.0 | HotNews *(aktualizacja z czerwca)* **Directory Traversal in SAP NetWeaver Application Server Java (Web Container)** **Komponent / wersje:** ENGINEAPI 7.50 **Opis podatności** Przechodzenie katalogów w Web Container NetWeaver AS Java pozwala na dostęp do plików poza przewidzianym katalogiem aplikacji. Nota była pierwotnie opublikowana w czerwcu 2026 we współpracy z Onapsis Research Labs i w lipcu została zaktualizowana. Jeśli reagowaliście na nią w czerwcu, sprawdźcie zakres aktualizacji. --- ## Podatności High Priority | Nota | CVE | CVSS | Produkt / komponent | Typ podatności | |------|-----|------|---------------------|----------------| | 3758101 | CVE-2026-40860 (+ -40453, -33454) | 8.8 | SAP Integration Suite - Edge Integration Cell (< 8.43.11) | Wiele luk w Apache Camel | | 3692165 | CVE-2026-0487 | 8.4 | SAProuter dla Windows | Przejęcie biblioteki DLL (DLL Hijacking) | | 3748227 | CVE-2026-44752 | 8.2 | NetWeaver AS Java - Configuration Wizard (LMCTC 7.50) | Cross-Site Scripting (XSS) | | 3741519 | CVE-2026-44745 | 8.1 | SAP Approuter | Open Redirect w OAuth2 | | 3763800 | CVE-2026-43512 / -41293 / -43515 | 8.1 | Apache Tomcat w SAP Commerce Cloud | Wiele luk w Apache Tomcat | | 3773304 | CVE-2026-58233 | 7.6 | Change and Transport System - Attach Tool | Zdalne wykonanie kodu (RCE) | Trzy noty High Priority (Edge Integration Cell, Commerce Cloud/Tomcat) dotyczą podatności w komponentach open source osadzonych w produktach SAP - Apache Camel i Apache Tomcat. To przypomnienie, że powierzchnia ataku SAP nie kończy się na kodzie ABAP; obejmuje cały stos, w tym biblioteki zewnętrzne. Na szczególną uwagę zasługuje nota **3773304** - RCE w narzędziu Attach Tool systemu transportowego (CTS). Zdalne wykonanie kodu w warstwie transportów to bezpośrednie ryzyko dla integralności krajobrazu, przez który przechodzą wszystkie zmiany między DEV, QAS i PRD. --- ## Pełna lista not bezpieczeństwa - lipiec 2026 | Nota | CVE | CVSS | Priorytet | Produkt / komponent | Typ podatności | |------|-----|------|-----------|---------------------|----------------| | 3747367 | CVE-2026-44747 | 9.9 | HotNews | SAP NetWeaver AS ABAP (jądro) | Memory Corruption | | 3720138 | CVE-2026-27690 | 9.1 | HotNews | SAP Approuter | HTTP Request Smuggling | | 3753495 | CVE-2026-44761 | 9.1 | HotNews | SAP Commerce Cloud | Insecure Sample Credentials | | 3727078 | CVE-2026-40128 | 9.0 | HotNews | NetWeaver AS Java (Web Container) | Directory Traversal *(akt. z czerwca)* | | 3758101 | CVE-2026-40860 | 8.8 | High | SAP Integration Suite (Edge Integration Cell) | Wiele luk w Apache Camel | | 3692165 | CVE-2026-0487 | 8.4 | High | SAProuter (Windows) | DLL Hijacking | | 3748227 | CVE-2026-44752 | 8.2 | High | NetWeaver AS Java (Configuration Wizard) | XSS | | 3741519 | CVE-2026-44745 | 8.1 | High | SAP Approuter | Open Redirect | | 3763800 | CVE-2026-43512 | 8.1 | High | Apache Tomcat w SAP Commerce Cloud | Wiele luk w Apache Tomcat | | 3773304 | CVE-2026-58233 | 7.6 | High | CTS Attach Tool | Remote Code Execution | | 3746678 | CVE-2026-44759 | 6.1 | Medium | SAP NetWeaver Enterprise Portal | XSS | | GHSA-p8gx-753q-v89p | CVE-2026-44767 | 6.1 | Medium | ui5/webcomponents-base (< 2.21.0) | Bypass allowlisty / iniekcja CSS | | 3537373 | CVE-2026-44769 | 5.5 | Medium | SAP S/4HANA PPM | SQL Injection | | 3754659 | CVE-2026-44760 | 4.7 | Medium | NetWeaver AS ABAP (BSP) | XSS | | 3515598 | CVE-2026-44771 | 4.3 | Medium | SAP S/4HANA (Draft operation) | Brak sprawdzenia autoryzacji | | 3713902 | CVE-2026-44770 | 4.3 | Medium | SAP S/4HANA (Create Single Payment) | Brak sprawdzenia autoryzacji | | 3682699 | CVE-2026-24315 | 4.2 | Medium | SAP Fiori Launchpad | Path Traversal *(akt. z czerwca)* | | 3155685 | CVE-2026-44768 | 4.1 | Medium | SAP CRM WebClient UI | Błędna konfiguracja bezpieczeństwa | | 3732522 | CVE-2026-44753 | 3.7 | Low | SAP HANA XS classic | Ujawnienie informacji | | 3726899 | CVE-2025-68161 | 3.3 | Low | NetWeaver AS Java | Apache Log4j *(akt. z czerwca)* | _Źródło: SAP Security Patch Day - July 2026 (support.sap.com) oraz analiza Onapsis Research Labs. Numery CVE dla części not Medium/Low należy potwierdzić w SAP Support Portal przy wdrożeniu._ --- ## Dlaczego to ważne dla polskich firm Polskie firmy korzystające z SAP to najczęściej duże przedsiębiorstwa: produkcja, dystrybucja, retail, utilities, sektor publiczny. Dla wielu z nich SAP jest systemem rejestrowym - jedynym źródłem prawdy o finansach, zapasach i kontrahentach. **Łatka na poziomie jądra dotyka niemal każdego.** Memory corruption z noty 3747367 nie jest podatnością w jednym module funkcjonalnym. Łatka jest dostarczana przez pakiety jądra SAP, a zakres dotkniętych wersji - od 7.22 po 9.20 - jest bardzo szeroki. W większości krajobrazów przynajmniej jeden system pracuje na jednej z tych wersji, niezależnie od tego, czy to ECC, czy S/4HANA. Pytanie nie brzmi „czy mnie to dotyczy", lecz „która wersja jądra działa na moich systemach produkcyjnych". **NIS2 obowiązuje od października 2024.** Dla podmiotów kluczowych i ważnych oznacza to m.in. obowiązek zarządzania podatnościami i aktualizowania systemów w rozsądnym czasie. Brak reakcji na notę HotNews z CVSS 9.9 - przy jednoczesnym incydencie - to gotowe pytanie od organu nadzorczego: „kiedy wiedzieliście i co zrobiliście?". W SNOK obejmujemy ten obszar [audytem NIS2 i DORA](https://snok.ai/pl/oferta/bezpieczenstwo-sap/audyt-nis2-dora/). **DORA dla sektora finansowego** idzie dalej. Instytucje finansowe mają obowiązek testowania i dokumentowania odporności operacyjnej. Niezałatana krytyczna podatność w systemie transakcyjnym to nie zaniedbanie techniczne - to ryzyko operacyjne wpisane w rejestr DORA. **Okno eksploatacji po Patch Day.** Publikując notę, SAP pośrednio ujawnia, gdzie szukać błędu. Badacze i atakujący analizują poprawki w ciągu 24-72 godzin od publikacji. Systemy bez łatki stają się łatwiejszym celem niż przed Patch Day - bo lokalizacja podatności jest teraz publiczna. Przy notach o gotowych poświadczeniach (3753495) okno jest jeszcze krótsze. W SNOK widzimy to regularnie: najtrudniejsze nie jest podjęcie decyzji o patchowaniu, ale zmieszczenie testu regresji i okna maintenance w harmonogramie produkcyjnym. To tutaj traci się tygodnie. --- ## Jak zadziałać - cztery kroki bez korpo-procedur **Krok 1: Ustal ekspozycję w ciągu 24 godzin** Zacznij od jądra. Sprawdź wersje jądra na wszystkich systemach ABAP (transakcja `SM51` / poziom patcha jądra) i zestaw je z listą dotkniętych wersji noty 3747367. Następnie zidentyfikuj, które z pozostałych produktów z listy faktycznie działają w Twoim krajobrazie: Approuter, Commerce Cloud, Integration Suite, SAProuter, CTS Attach Tool. To powinno być gotowe po jednej rozmowie z zespołem Basis. **Krok 2: Nadaj priorytety według realnej ekspozycji, nie tylko CVSS** Kolejność patchowania: - **Jądro ABAP (3747367)** - priorytet numer jeden, bo dotyczy niemal każdego systemu. - **Approuter i Commerce Cloud (3720138, 3753495)** - jeśli są wystawione do internetu, reagujesz natychmiast. Przy 3753495 pamiętaj o rotacji poświadczeń, nie tylko o łatce. - **CTS Attach Tool (3773304)** - RCE w warstwie transportowej; nie jest HotNews, ale ryzyko dla integralności krajobrazu jest wysokie. **Krok 3: Zaplanuj okno maintenance** Test regresji przed wdrożeniem na produkcji to konieczność, nie opcja. Dla not HotNews realistyczny przebieg to: transport / patch jądra na DEV → test automatyczny lub manualny → QAS → okno na PRD. Dla not krytycznych wejdź poza standardowy cykl kwartalny. Aktualizacja jądra wymaga zwykle restartu - uwzględnij to w oknie. **Krok 4: Udokumentuj decyzję** Dla środowisk pod NIS2 lub DORA zapisz datę, osobę decyzyjną, wynik oceny ryzyka i planowany termin wdrożenia. To nie biurokracja - to dowód działania na wypadek kontroli. --- ## Co SNOK rekomenduje Pracujemy z [SAP Basis i bezpieczeństwem SAP](https://snok.ai/pl/oferta/bezpieczenstwo-sap/) od lat - jako praktycy, nie konsultanci od arkuszy Excel. Lipiec 2026 to miesiąc z czterema notami HotNews, w tym z podatnością w jądrze ABAP o CVSS 9.9. To nie jest rutynowy Patch Day. Nasze rekomendacje dla systemów produkcyjnych: **Jeśli masz jakikolwiek system ABAP** (ECC, S/4HANA, NetWeaver): nota 3747367 jest łatana na poziomie jądra i przy tak szerokim zakresie wersji trafia do niemal każdego krajobrazu. Sprawdź poziom patcha jądra jeszcze w tym tygodniu. **Jeśli masz Approuter lub Commerce Cloud wystawione do internetu**: noty 3720138 i 3753495 wymagają reakcji natychmiastowej. Przy Commerce Cloud rotacja poświadczeń OAuth2 jest równie ważna jak sama łatka. **Jeśli używasz Integration Suite lub Commerce Cloud**: noty 3758101 i 3763800 łatają Apache Camel i Apache Tomcat. To komponenty open source w produktach SAP - warto włączyć je do stałego monitoringu podatności, nie tylko przy Patch Day. **Jeśli zarządzasz transportami przez CTS**: nota 3773304 (RCE) chroni warstwę, przez którą przechodzą wszystkie zmiany w krajobrazie. Jeśli potrzebujesz wsparcia w ocenie ekspozycji, aktualizacji jądra lub organizacji okna maintenance poza standardowym harmonogramem - zespół [SNOK Basis](https://snok.ai/pl/oferta/bezpieczenstwo-sap/sap-basis-24-7/) jest dostępny. Bez pitchu sprzedażowego, bez trzytygodniowej oferty. Wspieramy też wdrożenia [SecurityBridge](https://snok.ai/pl/securitybridge-snok/), który automatyzuje mapowanie not bezpieczeństwa na Twój konkretny krajobraz i skraca krok pierwszy z godzin do minut. --- *Bezpieczny Wtorek ze SNOK ukazuje się regularnie po każdym SAP Patch Day. Następna edycja: sierpień 2026.* *Jarosław Zdanowski - SAP Security, SNOK Sp. z o.o.* *SNOK: SAP · Cybersecurity · UiPath · Custom Dev · ISO 27001:2022*