SAP'de Kritik Açıklar: OVERPASS ve S4GET Tehdidi

SAP, Eylül 2026 güvenlik yamaları kapsamında iki kritik açığı kamuya duyurdu. Bunlardan ilki OVERPASS olarak bilinen CVE-2026-44756, SAP Extended Passport (EPP) işlenmesinde bellek bozulması açığı. CVSS puanı 10.0 yani en yüksek seviye. Onapsis Research Labs tarafından keşfedilen bu açık, SAP ürünlerinin geniş bir yelpazesini etkiliyor.

İkinci açık CVE-2026-58240 (S4GET), SAP NetWeaver Message Server'da kimlik doğrulama kontrolünün eksik olmasından kaynaklanıyor. CVSS puanı 9.8. Her iki açık da uzaktan ve kimlik doğrulama olmadan istismar edilebiliyor.

Bu açıkların başarılı bir şekilde istismarı, SAP kurulumunun sahibi olan kullanıcı hesabı altında işletim sistemi komutlarının çalıştırılmasına yol açıyor. sistemin ve üzerinde barındırdığı tüm iş verilerinin tamamen ele geçirilmesi mümkün hale geliyor. SAP müşterileri için bu durum ciddi bir risk oluşturuyor.

CERT-EU, Security Notes 3747649 ve 3759472'nin mümkün olan en kısa sürede uygulanmasını şiddetle tavsiye ediyor. SAP kullanan kuruluşlar için bu güncellemeleri hemen almak, sistem yönetimi açısından kritik bir öncelik olmalı. Özellikle ağa bağlı SAP sistemlerinde bu yamaların derhal dağıtılması gerekiyor. Gecikme, tam sistem kontrolü anlamına gelen bir açıkta kalma riskiyle eşdeğer.