SAP Sistemlerinde Kritik Açık Alarmı: CVE-2026-44756 En Yüksek Risk Seviyesine Ulaştı

SAP, Eylül 2026 güvenlik güncellemeleri kapsamında birden fazla kritik açığı kapatırken CVE-2026-44756 için verilen 10,0 CVSS skoru açığın en yüksek risk seviyesinde olduğunu gösteriyor. SAP çekirdeğinde kullanılan Extended Passport Processing (EPP) kütüphanesindeki güvenlik sorunu, kimlik doğrulaması gerektirmeden hazırlanmış ağ istekleri üzerinden işletim sistemi komutlarının çalıştırılmasına kadar ilerleyebiliyor. SAP’nin 9 Eylül’de yayımladığı düzeltmeler arasında yer alan açıklar için şu ana kadar aktif saldırı gözlenmediği bildirilse de güvenlik güncellemelerinin geciktirilmemesi gerekiyor.

CVE-2026-44756 SAP Çekirdeğinde Uzaktan Kod Çalıştırmaya Yol Açabiliyor

SAP Extended Passport Processing kütüphanesindeki CVE-2026-44756, hatalı biçimlendirilmiş EPP başlığının özel olarak hazırlanmış bir ağ isteği içinde gönderilmesiyle tetiklenebilen yığın tabanlı bir arabellek taşması olarak tanımlanıyor. Saldırgan herhangi bir kullanıcı hesabına giriş yapmadan isteği hedef sisteme ulaştırabildiği için açık, uzaktan saldırı açısından yüksek risk taşıyor. Qualys Threat Research Unit, güvenlik açığının başarılı biçimde kullanılması hâlinde saldırganın SAP sunucusunda işletim sistemi komutları çalıştırabileceğini belirtiyor.

EPP mekanizması, birbirine bağlı sistemler arasındaki isteklerin izlenmesine yardımcı olan bir etiket bilgisini işlerken saldırganın bozuk bir etiket göndererek isteği işleyen sürecin kontrolünü ele geçirmesi teorik olarak mümkün hâle geliyor. SAP çekirdeğinin farklı iletişim katmanlarında kullanılan bileşenin web, SAP GUI ve RFC kanallarından erişilebilir olması saldırı yüzeyini genişletiyor. CVE-2026-44756 için verilen CVSS 10,0 puanı da kimlik doğrulaması gerektirmeyen uzaktan istismar ile sistem üzerindeki yüksek etkinin birleşiminden kaynaklanıyor.

SAP NetWeaver’daki CVE-2026-58240 da eylül güvenlik güncellemelerinde kritik seviyede yer alıyor. S4GET adıyla anılan açık, mesaj sunucusundaki yetersiz doğrulama mekanizmasından kaynaklanırken saldırganın uzaktan kimlik doğrulama kontrolünü aşmasına ardından belirli işlemler üzerinden komut çalıştırmasına yol açabiliyor. Açığın CVSS v3.0 skoru 9,8 olarak belirlenirken güvenlik riski CVE-2026-44756’nın hemen altında konumlanıyor.

CVE-2026-66768 ise SAP NetWeaver üzerinde 9,0 CVSS puanıyla kritik seviyede sınıflandırılıyor. Kimlik doğrulaması yapılmış bir saldırganın yamalanmamış sistem üzerinde kod çalıştırabilmesine neden olan açık, ilk iki zafiyetten farklı olarak saldırı öncesinde geçerli bir hesap veya başka bir kimlik doğrulama yöntemi gerektiriyor. NetWeaver ortamlarında birden fazla güvenlik açığının aynı gün içerisinde ele alınması, yöneticilerin yalnızca en yüksek CVSS puanlı soruna odaklanmak yerine ilgili güvenlik notlarının tamamını değerlendirmesini gerektiriyor.

SAP’nin eylül güvenlik güncelleme döneminde toplam 22 güvenlik notu yayımladığı, bunların beşinin Hot News kategorisinde bulunduğu bildiriliyor. Qualys değerlendirmesinde en kritik sorun olarak OVERPASS kod adıyla takip edilen CVE-2026-44756 öne çıkarken açığın SAP çekirdeğindeki EPP işleme mekanizmasından yararlandığı belirtiliyor.

Almanya Federal Bilgi Güvenliği Dairesi (BSI) de eylül uyarısında CVE-2026-44756, CVE-2026-58240 ve CVE-2026-66768 numaralı açıkları ayrıca listeliyor. BSI değerlendirmesinde NetWeaver tarafındaki CVE-2026-76967 için 7,8, CVE-2026-66767 için 7,7 CVSS puanı verilirken CVE-2026-76963 orta seviyede 4,3 puanla sınıflandırılıyor. SAP yöneticilerinin risk değerlendirmesini yalnızca kritik seviyedeki üç açıkla sınırlandırmaması, kullanılan bileşenleri etkileyen diğer güvenlik notlarını da kontrol etmesi gerekiyor.

SAP çekirdeğinde yer alan EPP bileşeni, S/4HANA, ERP, Business Suite, ECC, NetWeaver, Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO ve Solution Manager gibi farklı ürün ve kurulumlarda bulunuyor. Etkilenen bileşenin bu kadar geniş bir SAP ürün grubunda kullanılması, tek bir uygulama sunucusunun güncellenmesinden daha kapsamlı bir yama planı gerektiriyor.

Kurumsal SAP sistemleri finans, bordro, tedarik zinciri ve operasyon süreçlerini çalıştırdığı için çekirdek güncellemelerinin geciktirilmesi ciddi iş sürekliliği riskleri oluşturabiliyor. Kernel güncellemesinin ardından sistem yeniden başlatmasının gerekebilmesi, özellikle kesintisiz hizmet veren üretim ortamlarında BT ekiplerinin bakım penceresini önceden planlamasını zorunlu kılıyor.

SAP ortamının doğrudan internete açık olmaması CVE-2026-44756 riskini tamamen ortadan kaldırmıyor. EPP bileşenine web katmanının yanı sıra SAP GUI ve RFC üzerinden de ulaşılabilmesi, kurum içindeki saldırı yüzeyinin korunmasını önemli hâle getiriyor. Qualys, SAP GUI kanalının her uygulama sunucusunda doğal olarak erişilebilir olabilmesi nedeniyle yalnızca dışarıya açık sistemlerin yamalanmasının yeterli olmayacağı konusunda uyarıyor.

SAP’nin HTTP tabanlı saldırı yüzeyini geçici olarak azaltmaya yönelik önerileri bulunsa da bu yaklaşım SAP GUI ile RFC kanallarını kapsamıyor. Kurumların internet erişimi bulunan SAP sistemlerini öncelikli olarak güncellemesi, ardından iç ağdaki sistemlere geçmesi önerilirken SAProuter, atlama sunucuları ve Web Dispatcher gibi mimari kontroller de erişimi sınırlandırmak için kullanılabiliyor. Güvenlik ekiplerinin yama dağıtımı devam ederken olağan dışı süreç çalıştırma, yetki yükseltme ve ağ trafiği belirtilerini izlemesi de saldırı girişimlerinin erken fark edilmesine yardımcı olabilir.

CVE-2026-44756 için şu ana kadar kamuya açık çalışan bir istismar kodu veya kavram kanıtı bulunmadığı bildiriliyor. Güvenlik araştırmacıları, SAP’nin düzeltmeleri yayımlamasının ardından yama ile önceki kod arasındaki farkların incelenmesiyle yeni PoC’lerin ortaya çıkabileceğini değerlendiriyor. SAP sistemlerinin geçmişte saldırganların hedeflediği kritik kurumsal altyapılar arasında bulunması, yama sonrası tersine mühendislik sürecinin güvenlik ekipleri açısından ayrıca önem taşımasına neden oluyor.

Türkiye’deki SAP kullanan kuruluşların önceliği, etkilenen ürün ve çekirdek sürümlerini envanter üzerinden belirleyerek üreticinin yayımladığı güvenlik düzeltmelerini planlı biçimde uygulamak olmalı. Özellikle internete açık SAP bileşenlerinin ardından iç ağdaki SAP GUI ve RFC erişimlerinin de ele alınması gerekiyor. Microsoft veya işletim sistemi düzeyindeki bir güncellemeden farklı olarak SAP çekirdeği yamalarının iş süreçlerine doğrudan dokunabilmesi, güvenlik ekipleri ile SAP Basis yöneticilerinin birlikte hareket etmesini kritik hâle getiriyor.