OVERPASS: SAP Kernel’de CVSS 10,0 Açığı İçin Yama ve Müdahale Öncelikleri

SAP güvenliği yalnızca kullanıcı rolleri ve ABAP yetkilendirmelerinden ibaret değil. SAP Kernel gibi ortak bir bileşendeki açıklık, iş uygulamasına giriş yapılmadan da ciddi sonuçlar doğurabilir. OVERPASS adıyla anılan CVE-2026-44756, bu ayrımın neden operasyonel öncelik taşıdığını gösteriyor.

SAP tarafından sağlanan ve 8 Eylül 2026 tarihinde yayımlanan resmî CVE kaydı, Extended Passport Protocol (EPP) işleme kütüphanesinde bir bellek güvenliği açığını tanımlıyor. Kayıttaki CVSS v3.1 skoru 10,0; saldırı vektörü ağ, gereken ayrıcalık ve kullanıcı etkileşimi ise yok. Düzeltme referansı SAP Security Note 3747649.

Resmî kayıt neyi doğruluyor, araştırma ne ekliyor?

Resmî açıklamaya göre hatalı biçimlendirilmiş EPP başlığı içeren bir ağ isteği, belirli koşullarda tanımsız davranışa ve programın anormal sonlanmasına yol açabiliyor. Başarılı istismarın gizlilik, bütünlük ve erişilebilirlik üzerindeki etkisi yüksek olarak değerlendiriliyor.

SecurityBridge’in 17 Eylül 2026 tarihli araştırması ise bunun ötesinde, DIAG yolu üzerinden işletim sistemi komut çalıştırmayı laboratuvar koşullarında gösterdiğini bildiriyor. Araştırmacılar HTTP, RFC, DIAG ve ngRFC erişim yollarını ele alıyor. Dolayısıyla uzaktan kod çalıştırma bulgusu araştırma ekibine atfedilmeli; resmî kaydın daha ihtiyatlı açıklamasıyla birbirine karıştırılmamalı.

Araştırma yazısındaki “aktif istismar gözlenmedi” ifadesi, o yayının tarihindeki gözlemi yansıtıyor. Bu ifade güncel ve bütün dünyayı kapsayan bir güvence değildir. Savunma kararı, saldırı haberi çıkmasını beklemek yerine sistemin etkilenme ve erişilebilirlik durumuna dayanmalıdır.

Envantere yalnızca uygulama sunucusunu yazmak yetmez

Resmî kayıt KERNEL, KRNL64UC, KRNL64NUC ve WEBDISP sürüm ailelerini içeriyor. Bu kapsam, “kernel güncellendi” cümlesini tek başına yeterli kanıt olmaktan çıkarıyor: Hangi sunucunun, hangi bileşenin ve hangi çalışan örneğin güncellendiği gösterilmeli.

SecurityBridge’in yayımladığı düzeltme tablosunda örneğin 7.53 için PL 1610, 7.93 için PL 412 ve 9.16 için PL 100 belirtiliyor. Bunlar araştırma yazısındaki örnek eşiklerdir; bütün sürümleri kapsayan güncel bir uygulama talimatı olarak kullanılmamalıdır. İşlem öncesinde SAP Note 3747649’un güncel sürümü, platform ve kernel uyumluluğu yetkili SAP destek erişimiyle kontrol edilmelidir.

Bağımsız çalışan Web Dispatcher ayrıca ele alınmalı. Bir uygulama sunucusundaki kernel bakımının, ayrı bir Web Dispatcher kurulumunu da otomatik olarak güncellediği varsayılmamalı.

HTTP filtresi bütün saldırı yüzeyini kapatmaz

Araştırma, SAP Note 3756304 ile ilişkilendirdiği geçici önlemin, uygun şekilde yamalanmış Web Dispatcher üzerinden geçen HTTP(S) trafiğiyle sınırlı olduğunu vurguluyor. Aynı açıklamaya göre bu yaklaşım RFC, DIAG veya ngRFC yollarını korumuyor; uygulama sunucusuna doğrudan ağ erişimini de ortadan kaldırmıyor.

Bu nedenle web katmanına konulan bir filtreyi “zafiyet kapandı” kanıtı olarak görmek yanlış olur. Ağ erişimlerinin daraltılması, geçici riski azaltabilir; ancak kernel düzeltmesinin yerine geçtiği kabul edilmemelidir. İlgili SAP Note metinleri giriş gerektirdiğinden, değişiklik planı hazırlanırken bu ayrıntılar destek portalından ayrıca teyit edilmelidir.

Basis ve SOC için uygulanabilir çalışma sırası

Aşağıdaki sıra, kaynaklardaki bulgulardan hareketle önerilen savunma planıdır:

1. Etkilenen bileşenleri belirleyin. Kernel ve Web Dispatcher sürümünü, yama seviyesini, çalışan örnekleri ve ağ erişimlerini aynı envanterde toplayın.
2. Erişilebilirliği değerlendirin. İnternete açık servisleri önceliklendirin; iç ağdaki RFC ve DIAG erişimlerini risksiz saymayın. Düşük güvenli ağlardan erişim olup olmadığını ayrıca inceleyin.
3. Düzeltmeyi planlayıp doğrulayın. Güncel SAP Note’a göre bakım, test ve geri dönüş planı hazırlayın. Dosya dağıtımının yanında çalışan süreçlerin düzeltmeyi kullandığını da kontrol edin.
4. Geçici önlemin sınırını kaydedin. Kapatılmayan protokoller, sorumlu ekip ve hedef düzeltme tarihi risk kaydında açıkça yer alsın.
5. İzleme kapsamını genişletin. Beklenmeyen süreç sonlanmaları ve işletim sistemi davranışlarını SAP uygulama olaylarıyla birlikte değerlendirin. Yalnızca ABAP işlemlerine bakmak yeterli olmayabilir.

SecurityBridge ayrıca istismar sonrasındaki toplu kullanıcı oluşturma, yüksek ayrıcalık atama ve RFC hedeflerinin kötüye kullanılması gibi davranışlara dikkat çekiyor. Bunlar inceleme sinyalleri olabilir; tek başlarına OVERPASS istismarını kanıtlamaz. Tersine, bu sinyallerin görülmemesi de sistemin etkilenmediğini göstermez.

Öncelik: doğrulanmış düzeltme

OVERPASS için doğru hedef bir kontrol listesini işaretlemek değil, etkilenen bütün bileşenlerde düzeltmenin devrede olduğunu göstermek. Yama kaydı, bileşen envanteri ve ağ görünürlüğü birlikte ele alındığında hem acil risk hem de sonradan denetlenebilirlik daha iyi yönetilebilir.

Kaynaklar

• SecurityBridge: CVE-2026-44756 (OVERPASS) araştırması
• CVE Programı: SAP kaynaklı CVE-2026-44756 kaydı
• SAP Security Note 3747649 — tam metin için SAP oturumu gerekebilir.