# SAP Security Patch Day - marzec 2026 > Drugi wtorek marca - a więc czas na kolejny SAP Security Patch Day. Tym razem SAP opublikował 20 not bezpieczeństwa. Mniej niż w lutym? Owszem. Ale wciąż… - Source: https://snok.ai/pl/aktualnosci/blog/bezpieczny-wtorek-ze-snok-sap-security-patch-day-marzec-2026/ - Author: Jarosław Zdanowski - Published: 2026-03-10 --- Drugi wtorek marca - a więc czas na kolejny [SAP](https://snok.ai/pl/aktualnosci/blog/technologiczny-czwartek-ze-snok-jak-przygotowac-sie-do-konwersji-systemu-sap-erp/) Security Patch Day. Tym razem [SAP](https://www.linkedin.com/company/sap/) opublikował 20 not bezpieczeństwa. Mniej niż w lutym? Owszem. Ale wciąż znajdziemy tu dwie luki krytyczne z wynikiem CVSS powyżej 9.0 - a jedna z nich wywołuje wspomnienia, które wielu administratorów wolałoby zostawić w przeszłości. Log4j wraca na scenę. Nie jako nowa luka, ale jako przypomnienie, że stare długi technologiczne potrafią odezwać się w najmniej spodziewanym momencie. Dorzućmy do tego niebezpieczną deserializację w NetWeaver Portal i mamy marcowy obraz, który trudno zignorować. ### Marcowy bilans w liczbach SAP opublikował łącznie 20 not bezpieczeństwa, obejmujących nowe poprawki, aktualizacje wcześniejszych not i wydania tymczasowe. Rozkład priorytetów prezentuje się następująco: **🔴 Hot News (krytyczne):** 2 noty (CVSS 9.1–9.8) **🟠 High (wysoki):** 2 noty (CVSS 7.7–8.8) **🟡 Medium (średni):** 15 not (CVSS 4.3–6.5) **🟢 Low (niski):** 1 nota (CVSS 3.5) Większość to poprawki o średnim priorytecie - ale to nie znaczy, że można je odkładać na później. Brak kontroli autoryzacji, SQL Injection czy SSRF w środowisku produkcyjnym to realne ryzyka, które atakujący potrafią wykorzystać. ## Luki krytyczne (Hot News) - CVSS 9.0+ ### 1\. Code Injection w SAP Quotation Management Insurance (CVSS 9.8) SAP Note 3698553  |  CVE-2019-17571  |  Komponent: FS-QUO Najwyższy wynik CVSS w tym miesiącu - 9.8 na 10. Problem? Biblioteka Apache Log4j. Tak, ta sama, która w grudniu 2021 roku wywołała alarm na skalę globalną. Moduł schedulera w aplikacji SAP Quotation Management Insurance korzysta z podatnej wersji Log4j, co pozwala na zdalne wykonanie dowolnego kodu. Rozwiązanie: natychmiastowa instalacja łatki lub ręczna aktualizacja komponentu. Istnieje także obejście opisane w nocie 3720225 - ale łatka jest rekomendowaną ścieżką. ### 2\. Insecure Deserialization w SAP NetWeaver Enterprise Portal (CVSS 9.1) SAP Note 3714585  |  CVE-2026-27685  |  Komponent: BC-PIN-PCD Niebezpieczna deserializacja - kategoria luk, którą w ostatnich miesiącach widzimy w SAP coraz częściej. W tym przypadku dotyczy to administracji portalu NetWeaver. Łatka wprowadza dodatkową walidację treści i jest jedynym rozwiązaniem - obejścia brak. Szczegóły techniczne w nocie FAQ 3724167. Jeśli korzystasz z portalu NetWeaver - to priorytet numer jeden. ## Luki o wysokim priorytecie ### 3\. XML Signature Wrapping w SAP NetWeaver AS ABAP (CVSS 8.8) SAP Note 3697567  |  CVE-2026-23687  |  Komponent: BC-SEC-WSS Zaktualizowana nota z lutego - zmiany tekstowe, ale sam problem pozostaje poważny. XML Signature Wrapping pozwala na manipulację podpisanymi dokumentami XML, co może prowadzić do obejścia mechanizmów uwierzytelniania. Dotyczy każdego systemu NetWeaver ABAP korzystającego z usług webowych z podpisami XML. ### 4\. Denial of Service w SAP Supply Chain Management (CVSS 7.7) SAP Note 3719502  |  CVE-2026-27689  |  Komponent: SCM-APO-INT-EXT Moduł funkcyjny z niekontrolowaną pętlą - klasyczny błąd, który może położyć cały system SCM. Atak typu DoS nie wymaga wysokich uprawnień, a jedynym rozwiązaniem jest instalacja łatki. Dla firm zależnych od planowania łańcucha dostaw - krytyczne. ## Średni i niski priorytet - nie znaczy nieważny 15 not o średnim i 1 o niskim priorytecie tworzy główną masę marcowego Patch Day. To właśnie te poprawki najczęściej odkładane są „na później” - a to błąd. Sześć z nich dotyczy braków kontroli autoryzacji, co w praktyce oznacza, że nieupoważniony użytkownik może uzyskać dostęp do danych lub funkcji, do których nie powinien mieć wglądu. Omówmy kilka wybranych: ### Insecure Storage w SAP Customer Checkout 2.0 (CVSS 5.6) SAP Note 3708457  |  CVE-2026-24311  |  Komponent: IS-SE-CCO Mniej znane rozwiązanie SAP, które działa jako lokalna instalacja Java i przechowuje dane w niezabezpieczony sposób. Nowi klienci powinni od razu użyć zaktualizowanej wersji. Obecni - muszą ręcznie włączyć poprawny mechanizm bezpiecznego przechowywania. Łatwo to przeoczyć, a konsekwencje mogą być bolesne. ### Przestarzały OpenSSL w Adobe Document Services (CVSS 4.3) SAP Note 3700960  |  Multiple CVEs  |  Komponent: BC-SRV-FP Adobe Document Services to komponent, który często jest zainstalowany w systemie NetWeaver Java, choć niekoniecznie aktywnie używany. Przestarzała wersja OpenSSL w takim „uśpionym” komponencie to idealne blind spot dla atakującego. Przy okazji warto zweryfikować, które komponenty są faktycznie potrzebne - redukcja powierzchni ataku to fundament cyberodporności. ### Odkrycie SecurityBridge: Missing Authorization w ST-PI (CVSS 5.0) SAP Note 3707930  |  CVE-2026-24313  |  Komponent: SV-SMG-SDD Warto odnotować, że jedna z marcowych luk została wykryta przez zespół badawczy [SecurityBridge](https://snok.ai/pl/aktualnosci/blog/bezpieczny-wtorek-ze-snok-jak-securitybridge-dla-sap-btp-chroni-twoje-srodowisko/) - naszego partnera w obszarze bezpieczeństwa SAP. Brak kontroli autoryzacji w SAP Solution Tools Plug-In (ST-PI) - komponencie obecnym praktycznie w każdym systemie SAP. To potwierdza, że aktywne badania bezpieczeństwa i responsible disclosure naprawdę działają. ## Pełna lista 20 not bezpieczeństwa - marzec 2026 Poniżej pełne zestawienie wszystkich poprawek opublikowanych w ramach marcowego [SAP Security Patch Day](https://snok.ai/pl/aktualnosci/blog/bezpieczny-wtorek-ze-snok-sap-security-patch-day-wrzesien-2024/). Każda z nich zasługuje na ocenę w kontekście Twojego krajobrazu SAP: **1\. \[🔴 Hot News\] CVSS 9.8** Code Injection w SAP Quotation Management Insurance (FS-QUO) SAP Note 3698553  |  CVE-2019-17571 **2\. \[🔴 Hot News\] CVSS 9.1** Insecure Deserialization w SAP NetWeaver Enterprise Portal Administration SAP Note 3714585  |  CVE-2026-27685 **3\. \[🟠 High\] CVSS 8.8** XML Signature Wrapping w SAP NetWeaver AS ABAP and ABAP Platform SAP Note 3697567  |  CVE-2026-23687 **4\. \[🟠 High\] CVSS 7.7** Denial of Service (DoS) w SAP Supply Chain Management SAP Note 3719502  |  CVE-2026-27689 **5\. \[🟡 Medium\] CVSS 6.5** Denial of Service (DoS) w SAP BusinessObjects BI Platform (AdminTools) SAP Note 3695912  |  CVE-2026-24324 **6\. \[🟡 Medium\] CVSS 6.5** Missing Authorization check w SAP NetWeaver AS ABAP i SAP S/4HANA SAP Note 3672622  |  CVE-2026-0484 **7\. \[🟡 Medium\] CVSS 6.4** Missing Authorization check w SAP NetWeaver Application Server for ABAP SAP Note 3703856  |  CVE-2026-24309 **8\. \[🟡 Medium\] CVSS 6.4** SQL Injection w SAP NetWeaver (Feedback Notification) SAP Note 3697355  |  CVE-2026-27684 **9\. \[🟡 Medium\] CVSS 6.4** Server-Side Request Forgery (SSRF) w SAP NetWeaver AS ABAP SAP Note 3689080  |  CVE-2026-24316 **10\. \[🟡 Medium\] CVSS 6.1** DOM-based Cross-Site Scripting (XSS) w SAP Business One (Job Service) SAP Note 3693543  |  CVE-2026-0489 **11\. \[🟡 Medium\] CVSS 5.9** Missing Authorization check w SAP Business Warehouse (Service API) SAP Note 3703385  |  CVE-2026-27686 **12\. \[🟡 Medium\] CVSS 5.8** Missing Authorization check w SAP S/4HANA HCM Portugal i SAP ERP HCM Portugal SAP Note 3701020  |  CVE-2026-27687 **13\. \[🟡 Medium\] CVSS 5.6** Insecure Storage Protection w SAP Customer Checkout 2.0 SAP Note 3708457  |  CVE-2026-24311 **14\. \[🟡 Medium\] CVSS 5.0** DLL Hijacking w SAP GUI for Windows z aktywnym GuiXT SAP Note 3699761  |  CVE-2026-24317 **15\. \[🟡 Medium\] CVSS 5.0** Missing Authorization check w SAP NetWeaver AS ABAP SAP Note 3704740  |  CVE-2026-27688 **16\. \[🟡 Medium\] CVSS 5.0** Missing Authorization check w SAP Solution Tools Plug-In (ST-PI) - wykryte przez SecurityBridge! SAP Note 3707930  |  CVE-2026-24313 **17\. \[🟡 Medium\] CVSS 4.7** Cross-Site Scripting (XSS) w SAP NetWeaver Business Client for HTML SAP Note 3396109  |  CVE-2024-22128 **18\. \[🟡 Medium\] CVSS 4.3** Denial of Service - przestarzała wersja OpenSSL w SAP NetWeaver AS Java (Adobe Document Services) SAP Note 3700960  |  Multiple CVEs **19\. \[🟡 Medium\] CVSS 4.3** Information Disclosure w SAP S/4HANA (Manage Payment Media) SAP Note 3646297  |  CVE-2026-24314 **20\. \[🟢 Low\] CVSS 3.5** Missing Authorization check w SAP NetWeaver AS ABAP SAP Note 3694383  |  CVE-2026-24310 ## Co z tego wynika? Marcowy Patch Day potwierdza trend, który obserwujemy od kilku kwartałów. Po pierwsze - podatne biblioteki zewnętrzne (Log4j, OpenSSL) pozostają ulubionym wektorem ataku. Po drugie - deserializacja i brak kontroli autoryzacji to tematy, które wracają jak bumerang. Po trzecie - „uśpione” komponenty, o których zapominamy, mogą stać się najsłabszym ogniwem. Czy Twoja organizacja ma proces, który gwarantuje przegląd każdego Patch Day w ciągu 48 godzin od publikacji? Jeśli nie - to dobry moment, żeby taki proces wdrożyć. W SNOK pomagamy klientom w systematycznym zarządzaniu łatkami SAP - od identyfikacji brakujących poprawek, przez analizę wpływu, po wdrożenie. Współpracujemy z SecurityBridge, którego platforma daje pełen wgląd w stan bezpieczeństwa krajobrazu SAP i automatyzuje to, co do tej pory było żmudnym procesem ręcznym. #SAPSecurity #PatchDay #BezpiecznyWtorekZeSNOK #SecurityBridge #CyberBezpieczenstwo --- Chcesz zobaczyć to w praktyce lub omówić wdrożenie w swojej firmie? [Napisz do nas](https://snok.ai/pl/kontakt/) – odpowiemy w ciągu 48 h.