# SAP უსაფრთხოების განახლების განახლების დაყენება NetWeaver-ში ოთხი მაქსიმალური სიმძიმის დაუცველობას

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/ka/article/sap-patches-four-maximum-severity-flaws-in-netweaver-and-web-di-2026-11-10-ni-ka
Section: Software (https://technewslist.com/ka/software)
Author: TechNewsList
Language: ka
Published: 2026-11-10T18:28:07.246+00:00
Updated: 2026-11-10T18:28:07.2496+00:00

> SAP-ის 2026 წლის ნოემბრის უსაფრთხოების პაჩის დღე ეხება უსაფრთხოების 35 შენიშვნას, სათაურით ოთხი CVSS 10.0 ხარვეზით, მათ შორის არაავთენტიფიცირებული ICM2SHELL დისტანციური კოდის შესრულება.

## TL;DR
- საწარმოთა რესურსების დაგეგმვის პროვაიდერმა SAP გამოაქვეყნა 2026 წლის ნოემბრის უსაფრთხოების პაჩის დღის რჩევა, რომელიც შეიცავს 35 უსაფრთხოების შენიშვნას.
- გამოშვების სათაურია ოთხი განსხვავებული მაქსიმალური სიმძიმის დაუცველობით, რომლებსაც მინიჭებული აქვთ ყველაზე მაღალი შესაძლო CVSS ბაზის ქულა 10.0.
- ხარვეზები საშუალებას აძლევს არაავთენტიფიცირებულ დისტანციურ მოწინააღმდეგეებს შეასრულონ სისტემის თვითნებური კოდი ინტერნეტში დაუცველ NetWeaver და Web Dispatcher სისტემებში.

## Key points
- დაუცველობები თვალყურს ადევნებს ICM2SHELL ქოლგის ქვეშ, რაც გავლენას ახდენს ინტერნეტ კომუნიკაციის მენეჯერის კომპონენტზე NetWeaver AS ABAP და Java სტეკებში.
- ექსპლუატაცია არ საჭიროებს მომხმარებლის პრივილეგიებს ან წინასწარ ავთენტიფიკაციას, რაც უზრუნველყოფს ძირითადი ბიზნესის მონაცემთა ბაზების სრულ ადმინისტრაციულ დაუფლებას.
- უსაფრთხოების მკვლევარებმა დაადგინეს დისტანციური მეხსიერების გაფუჭების პირობები, რომლებიც გამოწვეულია შემუშავებული HTTP და HTTPS ქსელის მოთხოვნებით.
- SAP მოუწოდა საწარმოს მომხმარებლებს, დაუყოვნებლივ გამოეყენებინათ ცხელი შესწორებები ან გამოეყოთ ინტერნეტის მიმართული ვებ დისპეჩერის საპირისპირო პროქსი ინტერფეისები.
- გადაუდებელი განახლება მოდის, როდესაც ეროვნული სახელმწიფოს საფრთხის ჯგუფები აქტიურად სკანირებენ საწარმოს პერიმეტრებს დაუმუშავებელი ERP კარიბჭის ბოლო წერტილებისთვის.

## რა მოხდა

საწარმოს პროგრამულმა ტიტანმა SAP-მა გამოაქვეყნა 2026 წლის ნოემბრის უსაფრთხოების პაჩის დღის განახლებები, გამოსცა გადაუდებელი შესწორებები 35 განსხვავებული უსაფრთხოების შენიშვნებისთვის საწარმოს რესურსების დაგეგმვის, ღრუბლოვანი პროგრამისა და მონაცემთა ბაზის პორტფოლიოში. ყოველთვიური კონსულტაცია გამოირჩევა ოთხი ცალკეული მაქსიმალური სიმძიმის დაუცველობის გამჟღავნებით, რომლებიც შეფასებულია კატასტროფული CVSS ქულით 10.0-დან 10.0-დან, რაც წარმოადგენს ყველაზე გადაუდებელ კორპორატიულ შესწორების მანდატს, რომელიც გაცემულია გერმანიის პროგრამული უზრუნველყოფის გამყიდველის მიერ ამ წელს.

ოთხი კრიტიკული დაუცველობა, რომლებსაც ერთობლივად აკონტროლებენ კიბერუსაფრთხოების მკვლევარები ICM2SHELL იდენტიფიკატორის ქვეშ, მდებარეობს SAP-ის ინტერნეტ კომუნიკაციის მენეჯერისა და SAP Web Dispatcher-ის ძირითად არქიტექტურაში. ინტერნეტ კომუნიკაციის მენეჯერი არის შეუცვლელი ქსელის კომპონენტი, რომელიც ჩაშენებულია SAP NetWeaver AS ABAP და AS Java აპლიკაციის სერვერებზე, რომელიც პასუხისმგებელია შემომავალი ვებ პროტოკოლების დამუშავებაზე, მათ შორის HTTP, HTTPS და SMTP. იმის გამო, რომ ეს კომპონენტები, როგორც წესი, ხვდება საჯარო ქსელის პერიმეტრებს დისტანციური თანამშრომლებისა და მიწოდების ქსელის პარტნიორების დასაკავშირებლად, დაუცველობა წარმოადგენს მწვავე თავდასხმის ზედაპირებს.

SAP უსაფრთხოების რჩევის თანახმად, არაავთენტიფიცირებულ დისტანციურ თავდამსხმელებს შეუძლიათ გამოიყენონ ეს დაუცველობა სპეციალურად შემუშავებული ქსელის პაკეტების გამოქვეყნებულ ბოლო წერტილებში. წარმატებული ექსპლუატაცია იწვევს მეხსიერების სერიოზულ დაზიანებას ICM პროცესში, რაც თავდამსხმელებს საშუალებას აძლევს მთლიანად გვერდის ავლით ავთენტიფიკაცია, შეასრულონ თვითნებური ოპერაციული სისტემის ბრძანებები მაღალი სისტემის პრივილეგიებით და მიიღონ შეუზღუდავი წვდომა წაკითხვისა და ჩაწერის ძირითად კორპორატიულ მონაცემთა ბაზებზე.

## რატომ არის მნიშვნელოვანი

![სამუშაო ადგილის კომპიუტერის კლავიატურის ახლო პერსპექტივა საოფისე მაგიდაზე.](https://technewslist.com/storage/v1/object/public/media/api/1794334549303-vbrz62-sap-patches-four-maximum-severity-flaws-in-netweaver-and-web-di-2026-11-10-night-inside-1-d72f484fc1.webp)

*კომპიუტერის კლავიატურის სამუშაო სადგური, რომელიც წარმოადგენს სისტემის ადმინისტრატორის სერთიფიკატებს და ინტერფეისის ბოლო წერტილებს, რომლებიც იცავს საწარმოს ERP გარემოს.*

SAP საწარმოს რესურსების დაგეგმვის ინსტალაციები წარმოადგენს გლობალური კორპორატიული ეკონომიკის ციფრულ ნერვულ სისტემას. მსოფლიოს უმსხვილესი საწარმოების 90 პროცენტზე მეტი - მათ შორის გლობალური ბანკები, საჰაერო კოსმოსური მწარმოებლები, ფარმაცევტული მწარმოებლები და კომუნალური ოპერატორები - ეყრდნობა SAP-ს, რათა მართოს ძირითადი გენერალური წიგნები, აღმასრულებელი ხელფასები, მიწოდების საერთაშორისო ქსელები და კლიენტებთან ურთიერთობის მონაცემთა ბაზები.

დისტანციური კოდის შესრულების დაუცველობა, რომელიც შეფასებულია CVSS 10.0-ით პერიმეტრზე დაუცველ SAP კარიბჭეებზე წარმოადგენს ეგზისტენციალურ რისკებს კორპორატიული უწყვეტობისთვის. დახვეწილი გამოსასყიდი პროგრამების კარტელების ან ნაციონალური სახელმწიფოს ჯაშუშური ჯგუფების ხელში, საწარმოს SAP გარემოში არაავთენტიფიცირებული წვდომა საშუალებას აძლევს მოწინააღმდეგეებს მანიპულირონ მიწოდების ჯაჭვის გადაზიდვებით, გამოიყენონ მგრძნობიარე ინტელექტუალური საკუთრება, გააყალბონ ფინანსური აუდიტის ჩანაწერები ან მთლიანად დაშიფრონ ბიზნესისთვის კრიტიკული აპლიკაციების შემთხვევები.

გარდა ამისა, საწარმოს ERP სისტემების შესწორება საკმაოდ რთულია. სამომხმარებლო ოპერაციული სისტემებისგან განსხვავებით, რომლებიც ავტომატურად იყენებენ ფონის პატჩებს, საწარმოს SAP განლაგება ხშირად აერთიანებს ათასობით საბაჟო გაფართოებას და მონაცემთა ბაზის მემკვიდრეობას. NetWeaver-ის ძირითადი ბირთვის პატჩების გამოყენება ხშირად მოითხოვს საწარმოს დაგეგმილ ტექნიკურ შეფერხებას, რაც ათავსებს IT უსაფრთხოების გუნდებს რთულ ოპერაციულ რბოლაში საფრთხის ავტომატური სკანერების ქსელებთან.

## ტექნიკური დეტალები

პირველადი ტექნიკური ძირეული მიზეზი, რომელიც იდენტიფიცირებულია ICM2SHELL რჩევაში, გამომდინარეობს არაადეკვატური შეყვანის ვალიდაციისა და ბუფერული მენეჯმენტისგან ინტერნეტ კომუნიკაციის მენეჯერის ასინქრონული HTTP მოთხოვნის ანალიზის რუტინებში. როდესაც ICM სერვისი ამუშავებს შემომავალ HTTP/2 კადრების თანმიმდევრობებს ან არასწორად ფორმირებულ დაქუცმაცებულ გადაცემის კოდირების სათაურებს, ცალკეული საზღვრების ხარვეზი იწვევს გროვაზე დაფუძნებულ მეხსიერების გაფუჭებას.

იმის გამო, რომ ICM სერვისი მუშაობს მაღალი ადმინისტრაციული პრივილეგიებით სტანდარტული ქსელის საკომუნიკაციო პორტებთან დასაკავშირებლად, მისი გროვის სივრცის კორუმპირება საშუალებას აძლევს თავდამსხმელს გაიტაცეს ინსტრუქციის მაჩვენებელი. მეხსიერების გამჟღავნების პრიმიტივების მიჯაჭვით სტრუქტურირებული დაბრუნებაზე ორიენტირებული პროგრამირების გაჯეტებით, გარე მოწინააღმდეგეს შეუძლია შეასრულოს თვითნებური ორობითი shellcode პირდაპირ მეხსიერებაში, მომხმარებლის სახელის, პაროლის ან სესიის ჟეტონის მოთხოვნის გარეშე.

დაუცველობა გავლენას ახდენს SAP NetWeaver Application Server ABAP და Java, SAP Web Dispatcher, SAP კონტენტის სერვერის და SAP S/4HANA შიდა ინსტალაციის მრავალ ვერსიაზე. SAP აღნიშნა, რომ Common Vulnerability Scoring System-მა მიანიჭა მაქსიმალური 10.0 საბაზისო ქულა ავტორიზაციის მოთხოვნების სრული არარსებობის, შეტევის დაბალი სირთულის, ქსელისთვის ხელმისაწვდომი თავდასხმის ვექტორისა და მონაცემთა კონფიდენციალურობის, მთლიანობისა და ოპერატიული ხელმისაწვდომობის სრული გავლენის გამო.

## გავლენა ბაზარზე და ინდუსტრიაზე

![განათებული საწარმოს სერვერის კაბინეტების რიგი კორპორატიული მონაცემთა ობიექტის შიგნით.](https://technewslist.com/storage/v1/object/public/media/api/1794334550436-19xpjq-sap-patches-four-maximum-severity-flaws-in-netweaver-and-web-di-2026-11-10-night-inside-2-9f03a3f2ac.webp)

*საწარმოთა მონაცემთა ბაზის სერვერის თაროები მასპინძლობს კრიტიკულ ბიზნეს პროგრამულ პროგრამებს, რომლებიც გადიან უსაფრთხოების საგანგებო განახლებებს.*

გამჟღავნებამ გამოიწვია სასწრაფო დახმარების გაფრთხილება ეროვნული კიბერუსაფრთხოების სააგენტოებისგან, მათ შორის შეერთებული შტატების კიბერუსაფრთხოების და ინფრასტრუქტურის უსაფრთხოების სააგენტოსა და გერმანიის ინფორმაციული უსაფრთხოების ფედერალური სამსახურისგან. ორივე სააგენტომ გამოაქვეყნა ოფიციალური რჩევები, რომლებიც მოუწოდებდა ფედერალურ კონტრაქტორებს და კრიტიკული ინფრასტრუქტურის ოპერატორებს, უპირატესობა მიანიჭონ SAP შესწორებას, ვიდრე სხვა ყოველთვიური პროგრამული უზრუნველყოფის შენარჩუნება.

საფრთხის კომერციულმა სადაზვერვო ფირმებმა განაცხადეს ავტომატური დაზვერვის სკანირების დაუყოვნებლივი ზრდა საჯარო IP სივრცეებში. საფრთხის მონაწილეებმა დაიწყეს გლობალური ქსელის პერიმეტრების გამოკვლევა SAP Web Dispatcher და ICM სერვისის ბანერების გამოსავლენად, მოწყვლადი საბოლოო წერტილების ძიებამდე, სანამ კორპორატიული IT დეპარტამენტები განახორციელებდნენ გადაუდებელი ცვლილებების გაყინვას და დაგეგმეს ტექნიკური ფანჯრები.

მოსალოდნელია, რომ ინციდენტი დააჩქარებს საწარმოს მიგრაციას ნულოვანი ნდობის აპლიკაციების არქიტექტურისკენ. საწარმოს ინფორმაციული უსაფრთხოების მთავარი ოფიცრები სულ უფრო მეტად აცნობიერებენ, რომ მემკვიდრეობითი ERP ვებ დისპეტჩერების განთავსება პირდაპირ საჯარო ინტერნეტში წარმოადგენს აუტანელ სისტემურ რისკს. შედეგად, საწარმოები აჩქარებენ იდენტურობის მცოდნე ნულოვანი ნდობის მარიონეტების მიღებას და უსაფრთხო წვდომის სერვისის გადაწყვეტილებებს, რათა დაიცვან ძირითადი საწარმო აპლიკაციები მრავალფაქტორიანი ავთენტიფიკაციის საზღვრებს მიღმა.

## რას უნდა დავაკვირდეთ შემდეგ

მომდევნო ორმოცდარვა საათის განმავლობაში, საწარმოს უსაფრთხოების ადმინისტრატორები მთლიანად ყურადღებას გაამახვილებენ SAP-ის ოფიციალური უსაფრთხოების შენიშვნების ვალიდაციასა და გამოყენებაზე წარმოებისა და კატასტროფის აღდგენის გარემოში. იმ ორგანიზაციებს, რომლებსაც არ შეუძლიათ ბირთვის დაუყოვნებელი განახლებების შესრულება ოპერატიული დროის მოთხოვნების გამო, SAP უზრუნველყოფდა დროებით შემარბილებელ ზომებს, მათ შორის ვებ დისპეჩერის URL-ის ფილტრაციის წესების კონფიგურაციას, რათა ჩამოაგდეს არასწორად დაყოფილი მოთხოვნები და შეზღუდოს ქსელში შესვლა დამოწმებული შიდა კორპორატიული IP ქვექსელებისთვის.

კიბერუსაფრთხოების მკვლევარები ყურადღებით ადევნებენ თვალყურს ბნელ ვებ ფორუმებს და მიწისქვეშა ექსპლოიტის ბაზრებს, რათა დაამტკიცონ ცნების ექსპლოიტის მტკიცებულება. კორპორატიული SAP მონაცემების უზარმაზარი ფინანსური ღირებულების გათვალისწინებით, ავტომატური ექსპლოიტის სკრიპტები ხშირად ჩნდება Patch Day-ის გამჟღავნებიდან რამდენიმე დღეში. სისტემის ადმინისტრატორებს ურჩევენ, გადახედონ ICM წვდომის ჟურნალებს ატიპიური HTTP სათაურების შაბლონებისთვის და დააკვირდნენ პროცესების შექმნის ჟურნალებს ფუძემდებლურ მასპინძელ ოპერაციულ სისტემებზე ანომალიური შვილობილი პროცესებისთვის.

## წყაროები

- [Bleeping კომპიუტერი](https://www.bleepingcomputer.com/news/security/sap-patches-four-maximum-severity-security-vulnerabilities/)- ავტორიტეტული ტექნიკური გაშუქება SAP-ების 2026 წლის ნოემბრის პაჩის დღის შენიშვნები, CVSS 10.0 დაუცველობის ანალიზი და ადმინისტრატორის რჩევები შერბილების შესახებ.
- [SAP Enterprise Software Architecture](https://en.wikipedia.org/wiki/Common_Vulnerability_Scoring_System)- SAP საწარმოს რესურსების დაგეგმვის, NetWeaver შუა პროგრამული უზრუნველყოფის და მიწოდების ჯაჭვის მართვის პლატფორმების კორპორატიული ფონი და ტექნოლოგიური სფერო.
- [დაუცველობის მართვა და CVSS ქულები](https://en.wikipedia.org/wiki/Common_Vulnerability_Scoring_System)- სტანდარტიზებული ჩარჩო და სიმძიმის შეფასების მეტრიკა ტექნიკური თავდასხმის ვექტორების, ექსპლუატაციის სირთულის და კონფიდენციალურობაზე გავლენის შესაფასებლად.

Mentions: SAP, NetWeaver AS ABAP, SAP Web Dispatcher, ICM2SHELL, Common Vulnerability Scoring System

## Sources
- [Bleeping კომპიუტერი](https://www.bleepingcomputer.com/news/security/sap-patches-four-maximum-severity-security-vulnerabilities/)
- [SAP Enterprise Software Architecture](https://en.wikipedia.org/wiki/SAP)
- [დაუცველობის მართვა და CVSS ქულები](https://en.wikipedia.org/wiki/Common_Vulnerability_Scoring_System)