SAP, eylül ayında yayımladığı güvenlik bülteniyle ürünlerinde tespit edilen 21 açığı kapattı. Bunların arasında NetWeaver yazılımını etkileyen üç kritik güvenlik zafiyeti de yer aldı.
NetWeaver Açığı Uzaktan Komut Çalıştırmaya İzin Veriyordu
Bültene göre en ciddi sorun CVE-2025-42944 olarak tanımlandı. Bu açık, NetWeaver ServerCore 7.50 üzerinde kullanılan RMI-P4 modülünde tespit edildi. İnsecure deserialization olarak bilinen hata, saldırganın kimlik doğrulaması olmadan zararlı Java nesnesi göndermesine yol açabiliyor. Bu işlem işletim sistemi üzerinde komut çalıştırılmasına kapı aralıyor. Yanlış yapılandırılan güvenlik duvarları nedeniyle P4 portunun dış ağlara açılması riski daha da artırıyor.
SAP, CVE-2025-42922 olarak izlenen ikinci kritik hatayı da kapattı. NetWeaver AS Java üzerinde ortaya çıkan dosya işlemleri açığı, saldırganların yetkisiz dosya yüklemesine olanak tanıyordu. Saldırgan sisteme yüklediği dosya ile tam kontrol elde edebiliyordu.
Üçüncü kritik açık CVE-2025-42958 olarak kayda geçti. Bu hata, NetWeaver üzerinde eksik kimlik doğrulama kontrolünden kaynaklandı. Açık sayesinde yetkisi düşük kullanıcılar yönetici seviyesinde işlem yapabiliyor, hassas verileri görüntüleyip değiştirebiliyordu.
SAP, kritik hataların yanında yüksek öneme sahip bazı güvenlik sorunlarını da giderdi. Bunlar arasında Business One’da hassas verilerin güvensiz şekilde saklanması, SLT Replication Server’da girdi doğrulama eksiklikleri ve S/4HANA’da yetkisiz veri manipülasyonuna yol açabilecek açıklar yer aldı.
Şirket, özellikle NetWeaver ve S/4HANA gibi kurumsal verileri işleyen sistemlerde bu açıkların saldırganlar için cazip hedefler oluşturduğunu vurguladı. SAP, sistem yöneticilerine yayımlanan yamaların hızla uygulanması gerektiğini bildirdi.
