Критический

Опубликована

CVE-2026-44747

Memory Corruption vulnerability in SAP NetWeaver Application Server ABAP

Публикация: 14.07.2026·Обновлена: 29.07.2026, 07:52·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

SAP NetWeaver Application Server ABAP allows an authenticated attacker to leverage logical errors in memory management to cause a memory corruption that could lead to unauthorized data access, modification, or system unavailability. This has high impact on confidentiality, integrity, and availability of the application.

Что это значит

Компонент может записать данные за границами выделенной памяти. Последствия зависят от условий атаки и прав процесса.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

SAP_SE / SAP NetWeaver Application Server ABAP

{
  "status": "affected",
  "version": "KRNL64NUC 7.22"
}

{
  "status": "affected",
  "version": "7.22EXT"
}

{
  "status": "affected",
  "version": "KRNL64UC 7.22"
}

{
  "status": "affected",
  "version": "7.53"
}

{
  "status": "affected",
  "version": "KERNEL 7.22"
}

{
  "status": "affected",
  "version": "7.53. 7.54"
}

{
  "status": "affected",
  "version": "7.77"
}

{
  "status": "affected",
  "version": "7.93"
}

{
  "status": "affected",
  "version": "9.16"
}

{
  "status": "affected",
  "version": "9.18"
}

{
  "status": "affected",
  "version": "9.19"
}

{
  "status": "affected",
  "version": "9.20"
}

CVSS: оценки и векторы

CVSS 3.1 · cve9.9

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

Классы CWE

CWE-787 · Запись за границами выделенной памяти

Источники и ссылки

Материал · me.sap.com · cve Материал · url.sap · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:13:39.253933+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T19:31:46.521983+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T19:31:46.521983+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T19:31:46.521983+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:13:39.253933+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T19:31:46.521983+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены04.11.2026, 00:13
Данные обновлены03.11.2026, 00:12
Данные обновлены02.11.2026, 00:11
Данные обновлены31.10.2026, 11:58
Данные обновлены29.10.2026, 12:27
Опубликована28.10.2026, 22:31

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	ОПУБЛИКОВАНА
CVE-2026-34257 Open Redirect vulnerability in SAP NetWeaver Application Server ABAP SAP_SE / SAP NetWeaver Application Server ABAP · sap / netweaver_application_server_abap	Средний	6.1	0,16 %	14.04.2026
CVE-2026-27680 CSS Injection vulnerability in SAP NetWeaver Application Server ABAP SAP_SE / SAP NetWeaver Application Server ABAP · sap / netweaver_application_server_abap	Средний	4.3	0,17 %	14.05.2026
CVE-2026-66779 Cross-Site Scripting (XSS) vulnerability in SAP NetWeaver Application Server ABAP SAP_SE / SAP NetWeaver Application Server ABAP	Средний	6.3	0,35 %	11.08.2026
CVE-2025-23186 Mixed Dynamic RFC Destination vulnerability through Remote Function Call (RFC) in SAP NetWeaver Application Server ABAP SAP_SE / SAP NetWeaver Application Server ABAP	Высокий	8.5	0,51 %	08.04.2025
CVE-2025-42945 HTML Injection vulnerability in SAP NetWeaver Application Server ABAP SAP_SE / SAP NetWeaver Application Server ABAP	Средний	6.1	0,23 %	12.08.2025