# SAP Security Patch Day – Styczeń 2026 > SAP opublikował 17 nowych not bezpieczeństwa w ramach Patch Day January 2026. Jest to jeden z najpoważniejszych Patch Day – zawiera 4 podatności krytyczne… - Source: https://snok.ai/pl/aktualnosci/blog/bezpieczny-wtorek-ze-snok-sap-security-patch-day-styczen-2026/ - Author: Jarosław Zdanowski - Published: 2026-01-13 --- [SAP](https://snok.ai/pl/aktualnosci/blog/technologiczny-czwartek-ze-snok-jak-przygotowac-sie-do-konwersji-systemu-sap-erp/) opublikował **17 nowych not bezpieczeństwa** w ramach [Patch Day](https://snok.ai/pl/aktualnosci/blog/bezpieczny-wtorek-ze-snok-sap-security-patch-day-wrzesien-2024/) January 2026. Jest to jeden z najpoważniejszych Patch Day – zawiera 4 podatności krytyczne (HotNews) z najwyższym CVSS 9.9. **KLUCZOWE ZAGROŻENIA:** **1/** SQL Injection w S/4HANA General Ledger (CVSS 9.9), 2/ RCE w Wily Introscope (CVSS 9.6), 3/ Code Injection w S/4HANA i Landscape Transformation (CVSS 9.1), 4/ Privilege Escalation w [SAP HANA](https://snok.ai/pl/aktualnosci/blog/technologiczny-czwartek-ze-snok-sap-hana-platform-2-0-sps-08-najnowsze-zmiany-i-/) Database (CVSS 8.8). ## Przegląd wszystkich not bezpieczeństwa ## Podatności krytyczne (HotNews) _Wymagają natychmiastowej reakcji – patching w ciągu 24-48 godzin. Poniżej szczegółowy opis każdej podatności._ **SAP Note 3687749** |  CVE-2026-0501  |  CVSS: **9.9** | **HotNews** **SQL Injection Vulnerability in SAP S/4HANA Private Cloud and On-Premise (Financials – General Ledger)** **Komponent:** FI-GL-GL-G  | **Dotknięte wersje:** S4CORE 102-109 **CVSS Vector:** CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H **Opis podatności** Niedostateczna walidacja danych wejściowych w SAP S/4HANA Private Cloud i On-Premise (Financials – General Ledger) umożliwia uwierzytelnionemu użytkownikowi wykonanie spreparowanych zapytań SQL w celu odczytu, modyfikacji i usunięcia danych z backendowej bazy danych. Prowadzi to do wysokiego wpływu na poufność, integralność i dostępność aplikacji. **Warunki wstępne** Podatność występuje tylko wtedy, gdy konfiguracja obiektu autoryzacyjnego S\_RFC jest nieprawidłowa. **Rozwiązanie** Problem został naprawiony poprzez generowanie instrukcji SQL wewnętrznie w module funkcyjnym z użyciem zwalidowanych parametrów, co zapobiega wstrzykiwaniu danych kontrolowanych przez użytkownika do zapytania. Brak wpływu na istniejącą funkcjonalność po wdrożeniu noty bezpieczeństwa. **Obejście (Workaround)** Przegląd i ograniczenie obiektu autoryzacyjnego S\_RFC w celu zapewnienia, że żaden zewnętrzny dostęp nie jest dozwolony do modułów funkcyjnych w grupie funkcji FGL\_BCF. Te moduły funkcyjne są przeznaczone do wywoływania tylko wewnętrznie przez system jako część przetwarzania równoległego i nie mogą być wywoływane przez zewnętrzne interfejsy RFC. **Dodatkowe informacje:** FAQ SAP Note 3700593 **SAP Note 3668679** |  CVE-2026-0500  |  CVSS: **9.6** | **HotNews** **Remote Code Execution in SAP Wily Introscope Enterprise Manager (WorkStation)** **Komponent:** SV-SMG-DIA-WLY  | **Dotknięte wersje:** WILY\_INTRO\_ENTERPRISE 10.8 **CVSS Vector:** CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H **Opis podatności** Podatność zdalnego wykonania kodu (RCE) w SAP Wily Introscope Enterprise Manager umożliwia nieuwierzytelnionemu atakującemu utworzenie złośliwego pliku JNLP (Java Network Launch Protocol) dostępnego przez URL. Gdy ofiara kliknie na URL, serwer Wily Introscope może wykonać polecenia na aplikacji ofiary. Może to całkowicie naruszyć poufność, integralność i dostępność aplikacji. **Warunki wstępne** Atak wymaga interakcji użytkownika (kliknięcie w złośliwy link). Atakujący nie musi być uwierzytelniony. **Rozwiązanie** Kod generowania JNLP został zaktualizowany. Wszystkie parametry żądania są teraz prawidłowo obsługiwane i walidowane. Zapewnia to poprawne generowanie JNLP bez niezamierzonego lub szkodliwego kodu. Należy zainstalować Enterprise Manager 10.8 SP01 Patch 2 (10.8.0.220). **Obejście (Workaround)** Brak dostępnego obejścia. Jako rozwiązanie alternatywne klienci mogą przejść na odpowiedni samodzielny pakiet workstation z Software Center zamiast uruchamiania aplikacji przez plik .jnlp. Samodzielny pakiet zapewnia tę samą funkcjonalność aplikacji bez polegania na uruchamianiu JNLP. **Dodatkowe informacje:** FAQ SAP Note 3702381 **SAP Note 3697979** |  CVE-2026-0491  |  CVSS: **9.1** | **HotNews** **Code Injection Vulnerability in SAP Landscape Transformation** **Komponent:** CA-LT-ANA  | **Dotknięte wersje:** DMIS 2011\_1\_700 – 2020 **CVSS Vector:** CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H **Opis podatności** SAP Landscape Transformation umożliwia atakującemu z uprawnieniami administratora wykorzystanie podatności w module funkcyjnym wystawionym przez RFC. Ta luka umożliwia wstrzyknięcie dowolnego kodu ABAP lub poleceń systemu operacyjnego do systemu, omijając niezbędne kontrole autoryzacji. Podatność ta efektywnie działa jako backdoor, stwarzając ryzyko pełnego przejęcia systemu i podważając poufność, integralność oraz dostępność systemu. **Warunki wstępne** Atakujący musi posiadać uprawnienia administratora w systemie SAP. **Rozwiązanie** Problem został naprawiony poprzez usunięcie kodu powodującego podatność. Należy wdrożyć Correction Instructions lub Support Packages wskazane w nocie bezpieczeństwa. **Obejście (Workaround)** Brak dostępnego obejścia dla tej noty bezpieczeństwa. **Dodatkowe informacje:** FAQ SAP Note 3698186 **SAP Note 3694242** |  CVE-2026-0498  |  CVSS: **9.1** | **HotNews** **Code Injection Vulnerability in SAP S/4HANA (Private Cloud and On-Premise)** **Komponent:** CA-DT-ANA  | **Dotknięte wersje:** S4CORE 102-109 **CVSS Vector:** CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H **Opis podatności** SAP S/4HANA (Private Cloud i On-Premise) umożliwia atakującemu z uprawnieniami administratora wykorzystanie podatności w module funkcyjnym wystawionym przez RFC. Ta luka umożliwia wstrzyknięcie dowolnego kodu ABAP lub poleceń OS do systemu, omijając niezbędne kontrole autoryzacji. Podatność ta efektywnie działa jako backdoor, stwarzając ryzyko pełnego przejęcia systemu i podważając poufność, integralność oraz dostępność systemu. **Warunki wstępne** Atakujący musi posiadać uprawnienia administratora w systemie SAP. **Rozwiązanie** Problem został naprawiony poprzez usunięcie kodu powodującego podatność. Należy wdrożyć Correction Instructions lub Support Packages wskazane w nocie bezpieczeństwa. **Obejście (Workaround)** Brak dostępnego obejścia dla tej noty bezpieczeństwa. **Dodatkowe informacje:** FAQ SAP Note 3698254 ## Podatności wysokie (High) _Zalecany patching w ciągu 1-2 tygodni. Poniżej szczegółowy opis każdej podatności._ **SAP Note 3691059** |  CVE-2026-0492  |  CVSS: **8.8** | **High** **Privilege Escalation Vulnerability in SAP HANA Database** **Komponent:** HAN-DB-SEC  | **Dotknięte wersje:** HDB 2.00 (SPS07, SPS08) **CVSS Vector:** CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H **Opis podatności** Baza danych SAP HANA jest podatna na eskalację uprawnień, umożliwiając atakującemu z ważnymi poświadczeniami dowolnego użytkownika przełączenie się na innego użytkownika, potencjalnie uzyskując dostęp administracyjny. Wykorzystanie tej luki może skutkować całkowitym naruszeniem poufności, integralności i dostępności systemu. **Warunki wstępne** Atakujący musi posiadać ważne poświadczenia dowolnego użytkownika w systemie SAP HANA. **Rozwiązanie** Poprawka zapobiega nieautoryzowanemu przełączaniu użytkowników. Należy zaktualizować SAP HANA2 do co najmniej następujących wersji: SPS07: revision 79.07, SPS08: revision 88. Uwaga: SAP HANA2 SPS05 i SPS06 nie są dotknięte tą podatnością. **Obejście (Workaround)** Brak dostępnego obejścia. **SAP Note 3675151** |  CVE-2026-0507  |  CVSS: **8.4** | **High** **OS Command Injection Vulnerability in SAP Application Server for ABAP and SAP NetWeaver RFCSDK** **Komponent:** BC-MID-RFC-SDK  | **Dotknięte wersje:** KERNEL 7.53-9.16, NWRFCSDK 7.50 **CVSS Vector:** CVSS:3.0/AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H **Opis podatności** Podatność OS Command Injection w SAP Application Server for ABAP i SAP NetWeaver RFCSDK umożliwia uwierzytelnionemu atakującemu z dostępem administracyjnym i dostępem do sieci sąsiedniej przesłanie specjalnie spreparowanej zawartości na serwer. Jeśli zawartość zostanie przetworzona przez aplikację, umożliwia to wykonanie dowolnych poleceń systemu operacyjnego. Pomyślne wykorzystanie może prowadzić do pełnego naruszenia poufności, integralności i dostępności systemu. **Warunki wstępne** Jeśli rfcExec był używany jako started server i korzystał z pliku bezpieczeństwa rfcExec.sec, parametr COMMAND otrzymany w żądaniu był nieprawidłowo porównywany z wartością w rfcExec.sec. Jeśli wartości się zgadzały, żądanie było odrzucane. W przeciwnym razie żądanie było dozwolone. Wartość wildcard działała zgodnie z oczekiwaniami. **Rozwiązanie** Poprawka wprowadza dodatkową walidację zapobiegającą nieautoryzowanemu wstrzykiwaniu poleceń OS. Dla własnych rozwiązań opartych na rfcExec z NW RFC SDK 7.50 należy pobrać patch level 18 lub nowszy zgodnie z SAP Note 2573790. **Obejście (Workaround)** Brak dostępnego obejścia. **SAP Note 3688703** |  CVE-2026-0506  |  CVSS: **8.1** | **High** **Missing Authorization Check in SAP NetWeaver Application Server ABAP and ABAP Platform** **Komponent:** BC-DWB-DIC-F4  | **Dotknięte wersje:** SAP\_BASIS 700-816 **CVSS Vector:** CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H **Opis podatności** Brak kontroli autoryzacji w Application Server ABAP i ABAP Platform umożliwia uwierzytelnionemu atakującemu nadużycie funkcji RFC do wykonywania procedur form (FORMs) w systemie ABAP. Pomyślne wykorzystanie może pozwolić atakującemu na zapis lub modyfikację danych dostępnych przez FORMs oraz wywoływanie funkcjonalności systemowej eksponowanej przez FORMs, skutkując wysokim wpływem na integralność i dostępność, podczas gdy poufność pozostaje nienaruszona. **Warunki wstępne** Funkcja RFC w Application Server ABAP była nadużywana do wykonywania procedur FORM (FORMs) w systemie ABAP. **Rozwiązanie** Ta poprawka wyłącza funkcję i usuwa ją z przyszłych wersji. Należy wdrożyć Support Packages lub Correction Instructions wskazane w nocie bezpieczeństwa. **Obejście (Workaround)** Brak dostępnego obejścia. **SAP Note 3565506** |  CVE-2026-0511  |  CVSS: **8.1** | **High** **Multiple Vulnerabilities in SAP Fiori App (Intercompany Balance Reconciliation)** **Komponent:** FI-LOC-FI-RU  | **Dotknięte wersje:** S4CORE 105-108, UIAPFI70 500-902 **CVSS Vector:** CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N **Opis podatności** Ta nota bezpieczeństwa adresuje trzy podatności w aplikacji SAP Fiori Intercompany Balance Reconciliation:  1) Authorization Issue \[CVE-2026-0511\]: Aplikacja nie wykonuje niezbędnych kontroli autoryzacji dla uwierzytelnionego użytkownika, skutkując eskalacją uprawnień. Wysoki wpływ na poufność i integralność aplikacji. CVSS: 8.1  2) Insecure File Operations \[CVE-2026-0496\]: Aplikacja umożliwia atakującemu z wysokimi uprawnieniami przesłanie dowolnego pliku (w tym skryptów) bez prawidłowej walidacji formatu pliku. Niski wpływ na poufność, integralność i dostępność. CVSS: 6.6  3) Security Misconfiguration \[CVE-2026-0495\]: Aplikacja umożliwia atakującemu z wysokimi uprawnieniami wysyłanie przesłanych plików na dowolne adresy email, co może umożliwić efektywne kampanie phishingowe. Niski wpływ na poufność, integralność i dostępność. CVSS: 5.1 **Warunki wstępne** Podatności wynikają z brakujących kontroli autoryzacji oraz braku odpowiedniej ochrony przed nieograniczonym przesyłaniem plików. **Rozwiązanie** Dla problemu autoryzacji – wdrożono kontrole autoryzacji w funkcjonalności aplikacji. Dla problemu niebezpiecznych operacji na plikach – wdrożono ograniczenia przesyłania plików w aplikacji. Dla problemu błędnej konfiguracji bezpieczeństwa – usunięto opcję wysyłania plików na dowolne adresy email. **Obejście (Workaround)** Ograniczenie dostępu do dotkniętej funkcjonalności do zaufanych użytkowników poprzez kontrole organizacyjne i administracyjne do czasu wdrożenia poprawki. Jest to środek tymczasowy, nie rozwiązanie stałe. ## Podatności średnie (Medium) _Planowanie w ramach regularnego cyklu patchowania._ **3681523 | CVE-2026-0503 | CVSS 6.4 | Medium** Missing Authorization in SAP EHS Management EHS-SAF | SAP ECC, S/4HANA **3666061 | CVE-2026-0514 | CVSS 6.1 | Medium** Cross-Site Scripting in SAP Business Connector BC-MID-BUS | SAP Business Connector **3687372 | CVE-2026-0499 | CVSS 6.1 | Medium** Cross-Site Scripting in SAP NetWeaver Enterprise Portal EP-PIN-NAV | SAP NetWeaver EP **3638716 | CVE-2026-0513 | CVSS 4.7 | Medium** Open Redirect in SAP Supplier Relationship Management SRM-EBP-CAT | SAP SRM **3677111 | CVE-2026-0497 | CVSS 4.3 | Medium** Missing Authorization in Product Designer Web UI PLM-PPM-PDN | BSP Application **3655229 | CVE-2026-0493 | CVSS 4.3 | Medium** CSRF in SAP Fiori App (Intercompany Balance Reconciliation) FI-LOC-FI-RU | SAP Fiori App **3655227 | CVE-2026-0494 | CVSS 4.3 | Medium** Information Disclosure in SAP Fiori App (Intercompany Balance Reconciliation) FI-LOC-FI-RU | SAP Fiori App ## Podatności niskie (Low) _Wdrożenie podczas planowanych okien serwisowych._ **3657998 | CVE-2026-0504 | CVSS 3.8 | Low** Insufficient Input Handling in SAP Identity Management JNDI Operations BC-IAM-IDM | SAP IdM **3593356 | CVE-2026-0510 | CVSS 3 | Low** Obsolete Encryption Algorithm in NW AS Java UME User Mapping BC-JAS-SEC-UME | SAP NW AS Java ## Rekomendacje SNOK ### Działania natychmiastowe (0-48h) 1\. **SAP Note 3687749 (SQL Injection S/4HANA GL)** – CVSS 9.9, najwyższy priorytet. Jeśli natychmiastowy patching nie jest możliwy, zastosuj workaround: ograniczenie obiektu autoryzacyjnego S\_RFC dla grupy funkcji FGL\_BCF. 2\. **SAP Note 3668679 (RCE Wily Introscope)** – CVSS 9.6, atak nieuwierzytelniony. Natychmiast zainstaluj Enterprise Manager 10.8 SP01 Patch 2 lub przejdź na standalone workstation. 3\. **SAP Note 3691059 (Privilege Escalation HANA)** – CVSS 8.8, krytyczne dla bezpieczeństwa bazy danych. Aktualizacja do SPS07 rev 79.07 lub SPS08 rev 88. ### Działania krótkoterminowe (1-2 tygodnie) •       Wdrożenie patchy dla Code Injection (3694242, 3697979) – działają jako backdoory, wymagają uprawnień admina •       Aktualizacja SAP NetWeaver RFCSDK (3675151) – OS Command Injection w sieci sąsiedniej •       Patch dla SAP NetWeaver AS ABAP (3688703) – brak autoryzacji RFC umożliwia wykonanie FORMs •       Przegląd aplikacji Fiori Intercompany Balance Reconciliation (3565506) – trzy powiązane podatności ### Działania długoterminowe •       Wdrożenie automatycznego monitoringu SAP Security Notes z alertami dla HotNews •       Regularne przeglądy autoryzacji RFC i obiektów S\_RFC – kluczowe dla prewencji SQL Injection •       Audyt kont z uprawnieniami administratora – minimalizacja ryzyka Code Injection •       Rozważenie wdrożenia rozwiązania do ciągłego monitoringu bezpieczeństwa SAP (np. [SecurityBridge](https://snok.ai/pl/aktualnosci/blog/bezpieczny-wtorek-ze-snok-jak-securitybridge-dla-sap-btp-chroni-twoje-srodowisko/)) **Potrzebujesz wsparcia w zakresie SAP Security?** Zespół SNOK SAP Security jest do Twojej dyspozycji | [www.snok.ai](https://snok.ai/pl/) --- Chcesz zobaczyć to w praktyce lub omówić wdrożenie w swojej firmie? [Napisz do nas](https://snok.ai/pl/kontakt/) – odpowiemy w ciągu 48 h.