10 নভেম্বর 2026-এ, SAP-এর সিকিউরিটি প্যাচ ডে 35টি নতুন নিরাপত্তা নোট এবং 4টি GitHub নিরাপত্তা পরামর্শ, পূর্বে প্রকাশিত নোটে 3টি আপডেট সহ প্রকাশ করেছে। SAP দৃঢ়ভাবে সুপারিশ করে যে গ্রাহকরা সমর্থন পোর্টালে যান এবং অগ্রাধিকার ভিত্তিতে প্যাচ প্রয়োগ করুন।
এই চারটি রেকর্ডের প্রত্যেকটি CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H স্কোর করেছে। ভেক্টর SAP-অর্পণ করা হয়. NVD প্রাপ্ত স্থিতিতে রেকর্ড তালিকাভুক্ত করে এবং SAP 10.0 মেট্রিক্সকে মিরর করে; এই এনভিডি এন্ট্রিগুলি স্বাধীনভাবে এনভিডি স্কোর বরাদ্দ করা হয় না। সমস্ত চারটি অফিসিয়াল বর্ণনায় বলা হয়েছে যে আক্রমণকারী অপ্রমাণিত হতে পারে। এগুলি স্বতন্ত্র ত্রুটি, একটি প্রদর্শিত শোষণ শৃঙ্খলের প্রমাণ নয়।
SAP ERP বা S/4HANA চালিত সংস্থাগুলি, বিশেষ করে যেখানে ওয়েব ডিসপ্যাচার, ICM বা গেটওয়ে ইন্টারনেট-মুখী বা যেখানে ABAP-তে SAML2 একক সাইন-অন সক্ষম করা আছে, চারটি 10.0 নোটকে প্রথম প্যাচ অগ্রাধিকার হিসাবে বিবেচনা করা উচিত।
প্রযুক্তিগত তথ্য
CVE-2026-120017: SAML2 পরিষেবা প্রদানকারীর দাবির বৈধতা
SAP শিরোনাম এই সমস্যাটি SAP NetWeaver AS ABAP এবং ABAP প্ল্যাটফর্ম (SAML2 পরিষেবা প্রদানকারী), নিরাপত্তা নোট 3849308-এ প্রমাণীকরণ অনুপস্থিত। দুর্বলতা হল CWE-347, একটি ক্রিপ্টোগ্রাফিক স্বাক্ষরের অনুপযুক্ত যাচাইকরণ। SAP বলে যে প্ল্যাটফর্মটি "নির্দিষ্ট কনফিগারেশনের অধীনে ইনকামিং প্রমাণীকরণ দাবির পর্যাপ্ত যাচাইকরণ করে না।" একটি অননুমোদিত আক্রমণকারী প্রমাণীকরণকে বাইপাস করতে এবং বিশেষ সুবিধাপ্রাপ্ত অ্যাকাউন্ট সহ নির্বিচারে ব্যবহারকারীদের ছদ্মবেশী করার জন্য বিশেষভাবে তৈরি করা ডেটা জমা দিতে পারে। সফল শোষণ একটি সম্পূর্ণ সিস্টেম আপস সৃষ্টি করতে পারে, যার প্রভাব সম্ভাব্যভাবে সংযুক্ত উপাদানগুলিতে প্রসারিত হতে পারে।
কোয়ালিফায়ার "নির্দিষ্ট কনফিগারেশনের অধীনে" অফিসিয়াল রেকর্ডের অংশ, কোনো সর্বজনীন ব্যতিক্রম তালিকা নয়। যে সিস্টেমগুলি প্রভাবিত SAP_BASIS রিলিজে SAML2 ব্যবহার করে সেগুলিকে নিরাপদ মনে করার পরিবর্তে নোট 3849308 এর বিরুদ্ধে যাচাই করা উচিত। Tenable একই SAP বিবরণ এবং 10.0 ভেক্টর পুনরায় প্রকাশ করে।
CVE-2026-76964: ইন্টারনেট কমিউনিকেশন ম্যানেজার মেমরি দুর্নীতি
নোট 3778530 SAP NetWeaver AS ABAP (ইন্টারনেট কমিউনিকেশন ম্যানেজার), CWE-1287-এ মেমরি-দুর্নীতির দুর্বলতাকে সম্বোধন করে। SAP বলে যে অ্যাপ্লিকেশন সার্ভার "একটি অভ্যন্তরীণ উপাদান দ্বারা প্রক্রিয়াকৃত নির্দিষ্ট নেটওয়ার্ক ইনপুটকে পর্যাপ্তভাবে যাচাই করে না।" একটি অপ্রমাণিত আক্রমণকারী একটি মেমরি-দুর্নীতির অবস্থা ট্রিগার করতে বিশেষভাবে তৈরি করা নেটওয়ার্ক ট্র্যাফিক পাঠাতে পারে। সফল শোষণ, এসএপি লিখেছেন, আক্রমণকারীকে নির্বিচারে কোড চালানোর অনুমতি দিতে পারে এবং সিস্টেমের সাথে সম্পূর্ণ আপস করতে পারে। সেই কোড-নির্বাহের ফলাফল SAP-রচিত CVE রেকর্ডে রয়েছে, প্রেস অনুমান নয়।
CVE-2026-89103: SAP গেটওয়ে ভাঙা অ্যাক্সেস নিয়ন্ত্রণ
দ্রষ্টব্য 3798345 SAP গেটওয়ে, CWE-863-এ ভাঙা অ্যাক্সেস নিয়ন্ত্রণের ঠিকানা। SAP-এর সর্বজনীন বিবরণ শুরুর শর্ত সম্পর্কে সুনির্দিষ্ট: "SAP গেটওয়ে ডিফল্ট অ্যাক্সেস কন্ট্রোল লিস্টকে সক্রিয় করে উচ্চ সুবিধা সহ বহিরাগত আক্রমণকারীকে অভ্যন্তরীণ অ্যাপ্লিকেশন সার্ভার হিসাবে শ্রেণীবদ্ধ করার অনুমতি দেয়।" গেটওয়েতে নেটওয়ার্ক অ্যাক্সেস সহ একজন অননুমোদিত আক্রমণকারী গোপনীয়তা, অখণ্ডতা এবং প্রাপ্যতার উপর উচ্চ প্রভাব সহ সম্ভাব্য অননুমোদিত ক্রিয়া সম্পাদনের জন্য এই দুর্বলতাকে কাজে লাগাতে পারে। ডিফল্ট-ACL ওয়ার্ডিং হল SAP এর। কনফিগারেশন নির্দেশিকা জন্য নোট 3798345 পড়ুন একটি পরিবর্তিত ACL সুযোগের বাইরে, অথবা শুধুমাত্র একটি ডিফল্ট ইনস্টল প্রভাবিত হয় অনুমান না করে।
CVE-2026-89126: ওয়েব ডিসপ্যাচার মেমরি দুর্নীতি
নোট 3778556 SAP ওয়েব ডিসপ্যাচারে একটি মেমরি-দুর্নীতির দুর্বলতাকে সম্বোধন করে, CWE-122 হিসাবে শ্রেণীবদ্ধ, হিপ-ভিত্তিক বাফার ওভারফ্লো। পাবলিক বর্ণনা আইসিএম সমস্যাটির সমান্তরাল: একটি অপ্রমাণিত আক্রমণকারী একটি মেমরি-দুর্নীতির অবস্থা ট্রিগার করতে বিশেষভাবে তৈরি নেটওয়ার্ক ট্র্যাফিক পাঠাতে পারে। সফল শোষণ, এসএপি লিখেছেন, নির্বিচারে কোড কার্যকর করা এবং সিস্টেমের সম্পূর্ণ আপস করতে পারে। যেখানে ওয়েব ডিসপ্যাচার হল ইন্টারনেট-মুখী সম্মুখ প্রান্ত, এই নোটটি একটি অগ্রাধিকার, কিন্তু সেই ভূমিকাটি নিজেই প্রমাণ করে না যে একটি প্রদত্ত হোস্ট পৌঁছানো যায়।
একই রিলিজে অন্যান্য সমালোচনামূলক নোট
অফিসিয়াল প্যাচ ডে পৃষ্ঠা নয়টি নতুন নোটকে সমালোচনামূলক চিহ্নিত করেছে। চারটি 10.0 ইস্যু ছাড়াও, আরও পাঁচটি নোট এসএপি রেট ক্রিটিক্যালের বিভিন্ন বিশেষাধিকার বা ইন্টারঅ্যাকশন প্রয়োজনীয়তা রয়েছে এবং অপ্রমাণিত 10.0 সেটে ভাঁজ করা উচিত নয়। সেগুলি হল CVE-2026-109803 (নোট 3809153, SAP CVSS 3.1 9.9, PR:L), NetWeaver নলেজ ম্যানেজমেন্ট XML ফর্মগুলিতে কোড ইনজেকশন; CVE-2026-76965 (নোট 3792735, 9.9, PR:L), ABAP অ্যাপ্লিকেশন সার্ভারে OS কমান্ড ইনজেকশন; CVE-2026-109795 (নোট 3834842, 9.9, PR:L), একটি অনুপস্থিত অনুমোদন চেক এবং S4CRM, S4CEXT এবং BBPCRM-এ CWE-94 দুর্বলতা; এবং CVE-2026-109798 (নোট 3799117, 9.1, PR:L), BusinessObjects Web Intelligence-এ একটি XML বাহ্যিক সত্তা সমস্যা। সমালোচনামূলক রেটিংটি প্রকাশের প্রতিটি নোটে নির্বিচারে প্রয়োগ করা উচিত নয়।
প্রভাবিত পণ্য সংস্করণ
পণ্য এবং সংস্করণ লাইনগুলি SAP-এর সর্বজনীন 10 নভেম্বর 2026 প্যাচ ডে পৃষ্ঠা অনুসরণ করে, যা এই পরামর্শটি সরকারী পাবলিক তালিকা হিসাবে ব্যবহার করে। SAP-রচিত CVE রেকর্ডগুলি পণ্য পরিবার এবং স্কোরগুলির সাথে একমত; গেটওয়ে এবং ওয়েব ডিসপ্যাচারের জন্য প্যাচ ডে পৃষ্ঠায় কিছু কার্নেল লাইন আরও সম্পূর্ণরূপে তালিকাভুক্ত করা হয়েছে।
কার্নেল 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20 3798345 CVE-2026-89103 SAP গেটওয়ে KRNL64NUC 7.22, 7.22EXT; KRNL64UC 7.22, 7.22EXT, 7.53, 8.04; KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20, 9.21 3778556 CVE-2026-89126 SAP ওয়েব ডিসপ্যাচার HDB 2.00; KRNL64UC 7.53; WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16; XS_ADVANCED_RUNTIME 1.00; SAP_EXTENDED_APP_SERVICES 1; কার্নেল 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20
বিস্তারিত নিরাপত্তা নোটের জন্য সাধারণত একটি SAP সাপোর্ট পোর্টাল লগইন প্রয়োজন। প্রযোজ্য নোটের বিপরীতে প্রতিটি সিস্টেমের সঠিক প্রকাশ, কার্নেল এবং SAP_BASIS সমন্বয় নিশ্চিত করুন। এই পরামর্শটি কনফিগারেশন ব্যতিক্রম বা সর্বজনীন সারাংশ থেকে পরিচালিত-পরিষেবা এক্সপোজার উদ্ভাবন করে না।
শোষণের অবস্থা
পর্যালোচনা করা SAP প্যাচ ডে পৃষ্ঠা এবং SAP-রচিত CVE রেকর্ডগুলি এই দুর্বলতাগুলির শোষণের প্রতিবেদন করে না। এটি একটি পয়েন্ট-ইন-টাইম ফাইন্ডিং, প্রমাণ নয় যে শোষণ অসম্ভব বা কোনও ব্যক্তিগত আক্রমণ ঘটেনি।
চারটি মূল নোটে বর্ণিত CVSS 10.0 প্রভাব এবং অননুমোদিত অ্যাক্সেস একটি প্রচারণা, হুমকি অভিনেতা বা জনসাধারণের শোষণের উদ্ভাবন ছাড়াই প্রম্পট প্যাচিংকে সমর্থন করে।
ওয়ার্কআউন্ড এবং প্রশমন
SAP-এর পাবলিক প্যাচ ডে পৃষ্ঠা এই নোটগুলির জন্য সমাধানের তালিকা দেয় না। এটি সমর্থন পোর্টালের মাধ্যমে প্যাচগুলিকে অগ্রাধিকার ভিত্তিতে প্রয়োগ করার সুপারিশ করে৷ যেকোন নোট-নির্দিষ্ট অন্তর্বর্তী পদক্ষেপ, যদি একটি বিদ্যমান থাকে, তাহলে লগইন-ওয়ালা নিরাপত্তা নোটে থাকবে, এই সারাংশে নয়।
অপারেশনাল প্রস্তুতি হিসাবে, SAP-প্রদত্ত ফিক্স হিসাবে নয়, ইনভেন্টরি গ্রাহক-চালিত SAP ERP এবং S/4HANA সিস্টেম এবং তাদের SAP_BASIS, কার্নেল, ওয়েব ডিসপ্যাচার এবং গেটওয়ে সংস্করণগুলি রেকর্ড করে, যার মধ্যে ইন্টারনেট-মুখী শ্রোতা এবং ABAP সিস্টেমগুলি রয়েছে যা SAML2 একক সাইন-অন ব্যবহার করে। নোটগুলি প্রয়োগ না হওয়া পর্যন্ত, এই পরিষেবাগুলিতে অপ্রয়োজনীয় অ্যাক্সেস সীমাবদ্ধ করা এক্সপোজার কমাতে পারে এবং একটি SAML2 কনফিগারেশন পর্যালোচনা হল CVE-2026-120017 এর "নির্দিষ্ট কনফিগারেশনের অধীনে" ভাষার একটি যুক্তিসঙ্গত প্রতিক্রিয়া। কোনও পদক্ষেপই অফিসিয়াল প্যাচগুলিকে প্রতিস্থাপন করে না। নোটগুলি প্রয়োগ করার পরে, ইনস্টল করা রিলিজের প্রমাণ বজায় রাখুন এবং অনুমোদিত প্রশাসনিক চেকের মাধ্যমে প্রমাণীকরণ এবং গেটওয়ে অ্যাক্সেস-কন্ট্রোল সেটিংস যাচাই করুন।
সমঝোতার সূচক
পর্যালোচনা করা প্রাথমিক উত্সগুলিতে কোনও CVE-নির্দিষ্ট ডোমেন, IP ঠিকানা, ফাইল হ্যাশ বা নির্দিষ্ট সনাক্তকরণ স্বাক্ষর স্থাপন করা হয়নি। পূর্ববর্তী NetWeaver ঘটনাগুলি থেকে একটি সূচক সেট উদ্ভাবন বা সূচকগুলি পুনরায় ব্যবহার করা বিভ্রান্তিকর হবে৷ প্রমাণীকরণ, গেটওয়ে, ওয়েব ডিসপ্যাচার এবং আইসিএম লগগুলি একটি তদন্তকে সমর্থন করতে পারে, তবে নিশ্চিত স্বাক্ষরের পরিবর্তে অসামঞ্জস্যগুলি লিড।
আজ আপনার সরবরাহকারীদের কী জিজ্ঞাসা করবেন
নোটগুলি ইনস্টল না হওয়া পর্যন্ত, জিজ্ঞাসা করুন যে তারা গেটওয়ে, ওয়েব ডিসপ্যাচার এবং আইসিএম পোর্টগুলিতে অপ্রয়োজনীয় অ্যাক্সেস সীমাবদ্ধ করেছে এবং নোট 3849308 এর বিপরীতে SAML2 কনফিগারেশন পর্যালোচনা করেছে। যেখানে বিজনেস অবজেক্টস, নলেজ ম্যানেজমেন্ট XML ফর্ম বা S4CRM একই ল্যান্ডস্কেপে রয়েছে, অতিরিক্ত সমালোচনামূলক নোটগুলিকে একটি দ্বিতীয় তরঙ্গ নোট হিসাবে বিবেচনা করুন। একটি পরিচালিত SAP পরিষেবার জন্য, একটি পরিষেবা-নির্দিষ্ট প্রযোজ্যতা বিবৃতির অনুরোধ করুন৷ বন্ধ করার জন্য অসম্পূর্ণ উত্তর ট্র্যাক করুন.
নভেম্বর 2026 CVSS 10.0 NetWeaver নোটের সংস্পর্শে আসা SAP ERP এবং S/4HANA সরবরাহকারীদের মাধ্যমে কাজ করার জন্য সাহায্যের প্রয়োজন? আমাদের দল আপনাকে তাদের অগ্রাধিকার দিতে সাহায্য করতে পারে। একজন বিশেষজ্ঞের সাথে কথা বলুন
সূত্র
