Pengantar

SAP merilis pembaruan keamanan untuk memperbaiki empat kerentanan kritis yang masing-masing memiliki skor CVSS 10.0, nilai tertinggi dalam sistem penilaian tingkat keparahan kerentanan keamanan. Keempat celah tersebut ditemukan pada sejumlah komponen SAP, termasuk SAP NetWeaver, SAP Web Dispatcher, SAP Gateway, dan layanan SAML 2.0.

Pembaruan ini diumumkan dalam agenda November 2026 Security Patch Day pada 10 November 2026. Hal yang membuat kerentanan tersebut semakin berbahaya adalah penyerang dapat mengeksploitasinya tanpa harus melakukan login atau menunggu interaksi dari pengguna.

Dua dari empat kerentanan bahkan memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh atau dikenal sebagai Remote Code Execution (RCE). Jika berhasil dieksploitasi, serangan tersebut dapat menyebabkan sistem SAP diambil alih oleh pihak yang tidak berwenang.

Empat Kerentanan SAP Memiliki Skor CVSS 10.0

Berdasarkan laporan keamanan SAP, empat kerentanan yang diperbaiki memiliki identitas CVE sebagai berikut:

CVE ID	Komponen	SAP Security Note
CVE-2026-76964	SAP NetWeaver ICM	3778530
CVE-2026-89126	SAP Web Dispatcher	3778556
CVE-2026-89103	SAP Gateway	3798345
CVE-2026-120017	SAP NetWeaver SAML2	3849308

Ketiga kerentanan pertama dan keempat memiliki mekanisme serangan yang berbeda. Dua celah pada Internet Communication Manager (ICM) dan Web Dispatcher berpotensi memungkinkan eksekusi kode, sedangkan kerentanan pada SAML2 dapat digunakan untuk menyamar sebagai pengguna lain.

Sementara itu, kerentanan SAP Gateway berkaitan dengan kelemahan kontrol akses yang memungkinkan penyerang melakukan tindakan tanpa izin.

1. CVE-2026-76964: Kerentanan Remote Code Execution pada SAP NetWeaver ICM

Kerentanan pertama, CVE-2026-76964, ditemukan pada Internet Communication Manager (ICM) yang merupakan bagian dari SAP NetWeaver AS ABAP.

ICM bertugas menangani komunikasi antara server SAP dan klien melalui jaringan, termasuk lalu lintas HTTP dan HTTPS.

Masalah keamanan ini berkaitan dengan kesalahan pengelolaan memori ketika sistem memproses paket WebSocket yang dibuat secara khusus. Penyerang dapat mengirimkan paket jaringan dengan nilai panjang data yang tidak valid sehingga menyebabkan penulisan data di luar batas memori yang seharusnya.

Kondisi tersebut dapat menyebabkan kerusakan memori atau heap out-of-bounds write.

Jika berhasil memanfaatkan kelemahan ini, penyerang berpotensi menjalankan kode berbahaya pada sistem SAP tanpa perlu melakukan autentikasi terlebih dahulu.

Kerentanan ini memengaruhi sejumlah versi kernel SAP tertentu. SAP NetWeaver AS Java tidak termasuk dalam komponen yang terdampak menurut laporan tersebut.

2. CVE-2026-89126: Kerentanan RCE pada SAP Web Dispatcher

Kerentanan kedua, CVE-2026-89126, ditemukan pada SAP Web Dispatcher.

SAP Web Dispatcher merupakan komponen yang berfungsi menerima permintaan dari jaringan dan meneruskannya ke server SAP yang sesuai. Komponen ini sering menjadi bagian penting dari infrastruktur aplikasi SAP yang dapat diakses melalui jaringan.

Kerentanan ini memiliki akar masalah yang serupa dengan CVE-2026-76964, yaitu kesalahan pengelolaan memori ketika memproses lalu lintas WebSocket yang telah dimodifikasi.

Penyerang yang dapat menjangkau Web Dispatcher berpotensi memanfaatkan kelemahan tersebut untuk merusak memori dan menjalankan kode berbahaya dari jarak jauh.

Dampaknya cukup serius karena Web Dispatcher dapat menjadi salah satu pintu masuk menuju infrastruktur SAP perusahaan.

Kerentanan ini juga memengaruhi sejumlah instalasi Web Dispatcher, termasuk instalasi mandiri maupun yang tertanam pada lingkungan SAP HANA XS Classic dan XS Advanced. SAP Content Server tidak termasuk dalam komponen yang terdampak.

3. CVE-2026-89103: Kelemahan Broken Access Control pada SAP Gateway

Kerentanan ketiga, CVE-2026-89103, ditemukan pada SAP Gateway.

SAP Gateway berfungsi menghubungkan server SAP dengan sistem dan aplikasi lain. Komponen ini menggunakan Access Control List (ACL) untuk menentukan program atau sistem mana yang diizinkan melakukan komunikasi.

Masalah muncul karena konfigurasi daftar akses bawaan memiliki hak akses yang terlalu luas dalam kondisi tertentu.

Akibatnya, penyerang dari luar dapat menyamar sebagai salah satu application server internal yang dipercaya oleh sistem SAP.

Jika berhasil, penyerang dapat melakukan tindakan yang seharusnya hanya boleh dilakukan oleh sistem internal yang memiliki izin.

Kondisi ini termasuk dalam kategori Broken Access Control, yaitu kelemahan yang terjadi ketika mekanisme pembatasan akses tidak berjalan sebagaimana mestinya.

Kerentanan tersebut dapat membuka peluang bagi penyerang untuk mengakses fungsi internal dan melakukan tindakan tanpa otorisasi.

4. CVE-2026-120017: Kerentanan SAML2 Memungkinkan Penyerang Menyamar sebagai Pengguna

Kerentanan keempat, CVE-2026-120017, ditemukan pada SAML 2.0 Service Provider di SAP NetWeaver AS ABAP dan ABAP Platform.

SAML 2.0 merupakan standar yang digunakan untuk mendukung proses autentikasi melalui mekanisme Single Sign-On (SSO). Dengan teknologi ini, pengguna dapat mengakses beberapa aplikasi menggunakan satu identitas digital.

Masalah keamanan muncul karena pada konfigurasi tertentu, sistem tidak melakukan pemeriksaan tanda tangan digital (signature) pada assertion SAML yang diterima.

Assertion merupakan informasi yang dikirimkan oleh penyedia identitas atau Identity Provider untuk menyatakan bahwa pengguna telah berhasil diautentikasi.

Jika proses verifikasi tanda tangan tidak dilakukan dengan benar, penyerang berpotensi membuat assertion palsu dan menyamar sebagai pengguna yang sah.

Bahkan, menurut laporan tersebut, penyerang dapat menyamar sebagai pengguna dengan hak istimewa tinggi atau administrator.

Jika berhasil, serangan ini dapat menyebabkan pengambilalihan akun dan berpotensi membuka akses ke sistem lain yang terhubung dengan lingkungan SAP.

Dampak Kerentanan terhadap Infrastruktur Perusahaan

Keempat kerentanan tersebut menunjukkan bahwa kelemahan pada komponen inti SAP dapat memberikan dampak serius terhadap keamanan infrastruktur perusahaan.

Beberapa risiko yang perlu diperhatikan antara lain:

1. Remote Code Execution: Penyerang dapat menjalankan kode berbahaya pada server SAP melalui jaringan.
2. Account Impersonation: Penyerang dapat menyamar sebagai pengguna lain, termasuk administrator.
3. Unauthorized Access: Penyerang dapat mengakses fungsi internal tanpa izin yang sesuai.
4. System Compromise: Infrastruktur SAP berpotensi diambil alih sehingga mengganggu operasional perusahaan.
5. Data Breach: Informasi bisnis, data pelanggan, dan informasi sensitif perusahaan berpotensi terekspos.

Risiko tersebut menjadi perhatian penting bagi perusahaan yang menggunakan SAP untuk mengelola proses bisnis, keuangan, operasional, maupun sumber daya manusia.

Langkah Mitigasi dan Rekomendasi Keamanan

SAP merekomendasikan administrator untuk segera menerapkan pembaruan keamanan yang telah disediakan melalui November 2026 Security Patch Day.

Selain memasang patch, terdapat beberapa langkah yang perlu dilakukan untuk mengurangi risiko serangan:

1. Segera memasang security patch. Administrator perlu memeriksa dan menerapkan SAP Security Notes 3778530, 3778556, 3798345, dan 3849308 sesuai komponen yang digunakan.
2. Memperbarui SAP Kernel dan Web Dispatcher. Pastikan seluruh instalasi SAP Kernel dan Web Dispatcher telah menggunakan versi yang sudah diperbaiki.
3. Memeriksa konfigurasi SAML2. Evaluasi seluruh Identity Provider yang dipercaya dan pastikan proses validasi tanda tangan assertion berjalan dengan benar.
4. Mengevaluasi konfigurasi SAP Gateway. Periksa aturan akses pada file secinfo dan reginfo serta pastikan konfigurasi ACL tidak memberikan hak akses berlebihan.
5. Membatasi akses jaringan. Hindari mengekspos port SAP Gateway, khususnya port 33xx, secara langsung ke internet atau jaringan pengguna yang tidak tepercaya.
6. Memantau aktivitas mencurigakan. Periksa log autentikasi, aktivitas login administrator, dan koneksi yang berasal dari alamat IP tidak dikenal.
7. Melakukan inventarisasi seluruh instalasi. Pastikan tidak ada Web Dispatcher atau komponen SAP lain yang terlewat dari proses pembaruan.

Administrator juga perlu memperhatikan bahwa menonaktifkan dukungan WebSocket dapat menjadi langkah sementara untuk mengurangi risiko pada beberapa komponen. Namun, tindakan tersebut dapat mengganggu fitur yang bergantung pada WebSocket. Karena itu, pemasangan patch tetap menjadi solusi utama.

Kesimpulan

Empat kerentanan dengan skor CVSS 10.0 yang ditemukan pada lingkungan SAP menunjukkan betapa pentingnya menjaga keamanan komponen inti aplikasi perusahaan.

Dua kerentanan memungkinkan Remote Code Execution, satu berkaitan dengan kelemahan kontrol akses, dan satu lainnya berpotensi memungkinkan penyerang menyamar sebagai pengguna yang sah melalui mekanisme SAML2.

Karena seluruh kerentanan dapat dieksploitasi tanpa autentikasi maupun interaksi pengguna, organisasi yang menggunakan produk SAP perlu segera melakukan pemeriksaan terhadap sistem mereka.

Memasang pembaruan keamanan, memperbaiki konfigurasi akses, serta memantau aktivitas jaringan merupakan langkah penting untuk mengurangi risiko pengambilalihan sistem dan kebocoran data perusahaan.