SAP Aralık Güvenlik Güncellemeleri Kurumsal Sistemlerdeki Üç Kritik Açığı Kapatıyor
Kurumsal yazılım devi SAP, 2025 yılının Aralık ayına ait güvenlik güncellemelerini yayınladı. Bülten, üç kritik seviye açık dâhil toplam 14 zafiyete yönelik düzeltmeler içeriyor. SAP ürünleri pek çok kurumun temel iş süreçlerini yönettiği için güncellemeler güvenlik planlamasında önemli bir yer tutuyor.
SAP Solution Manager Açığı Sistemin Tam Yetkiyle Ele Geçirilmesine Zemin Hazırlıyor
CVE-2025-42880 koduyla kaydedilen açık 9.9 CVSS puanıyla listenin en üst sırasında yer aldı. SAP Solution Manager ST 720 sürümünü etkileyen bu sorun eksik girdi denetimi nedeniyle oluşuyor. Yetkili bir kullanıcı uzaktan çağrılan bir fonksiyon modülüne kötü amaçlı kod ekleyebiliyor. Bu durum saldırgana hedef sistem üzerinde tam kontrol sağlıyor. Solution Manager izleme, yapılandırma ve test süreçlerinde kritik bir rol üstlendiği için açık kurumsal altyapılar üzerinde geniş bir risk alanı oluşturuyor.
CVE-2025-55754 koduyla listelenen diğer kritik açık Apache Tomcat kaynaklı sorunlardan oluşuyor. HY_COM 2205, COM_CLOUD 2211 ve COM_CLOUD 2211-JDK21 sürümleri bu açıklardan etkileniyor. Açık 9.6 CVSS puanıyla değerlendiriliyor. SAP Commerce Cloud çok sayıda büyük ölçekli işletmenin ürün kataloğu yönetimi, ödeme akışları, sipariş işlemleri ve kullanıcı hizmetleri gibi hassas süreçlerini taşıdığı için zafiyet e-ticaret yapıları açısından risk oluşturuyor.
CVE-2025-42928 kodlu açık 9.1 CVSS puanıyla kritik kategorisinde yer aldı. SAP jConnect üzerinde görülen bu sorun belirli koşullarda yüksek yetkili bir kişinin özel tasarlanmış veri girişleriyle hedef sistemde kod çalıştırmasına yol açıyor. jConnect Java tabanlı uygulamalarla SAP ASE ile SAP SQL Anywhere veritabanlarını bir araya getiren bir yapı olduğu için zafiyet geliştirici ekiplerini etkileyen önemli bir güvenlik riski doğuruyor.
Bültende yüksek ve orta seviyeli toplam 11 açığa yönelik düzeltmeler de yer alıyor. Bu sorunlar arasında kimlik doğrulama eksikliği, bilgi sızdırma, yetki atlama ve bellek bozulması gibi farklı güvenlik başlıkları bulunuyor. SAP çözümlerinin kurumsal yapılara derin şekilde entegre olması bu açıklara yönelik düzeltmeleri kritik hâle getiriyor. SAP herhangi bir açığın aktif olarak istismar edildiğine dair bir bilgi paylaşmadı ancak önceki yıllarda benzer kod enjeksiyonu sorunlarının saldırganlar tarafından kullanıldığı biliniyor. Sistem yöneticilerinin yamaları gecikmeden devreye alması güvenlik planlamasını güçlendiriyor.
