文章总结： SAPNetWeaverASJava内核曝出CVSS10.0满分漏洞，可实现未认证远程代码执行。文章强调企业需立即排查受影响组件与暴露面，按官方说明部署补丁并完成重启验证，同时加强日志监控与业务连续性管理，避免维护窗口成为攻击窗口。提供了具体应急步骤与长期缓解措施，可操作性强。 综合评分： 88 文章分类： 漏洞预警,应急响应,安全运营,解决方案

SAP 内核出现满分远程代码执行漏洞：别让 ERP 补丁停在维护窗口里

原创

tcode tcode

字节脉搏实验室

2026年9月10日 10:33 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

    9 月 9 日发布的 SAP 月度安全更新中，一项 SAP NetWeaver AS Java 内核相关漏洞被公开列为 CVSS 10.0。公开报道描述为未认证远程代码执行：攻击者不必先拥有业务账号，就可能在满足受影响版本和网络可达条件时向服务器发送构造请求。对把 SAP 用于财务、采购、制造和人事流程的企业，这不是可以等到下个季度的普通维护项。

    CVSS 10.0 表示在评分模型中具备极高的技术风险，不代表所有部署都已遭攻击。是否可被实际利用，还取决于组件是否安装、内核版本、访问路径、反向代理和网络分段。处置首先要把“到底有没有这套组件、谁能连到它、补丁是否生效”查清楚，而不是只转发一个漏洞编号。

为什么要从内核和入口一起查

    SAP 系统常由应用服务器、数据库、Web Dispatcher、身份认证和接口网关共同组成。内核是承载基础运行能力的软件层，补丁可能要求按厂商说明替换文件、重启实例或执行兼容性验证。如果仅更新管理端显示的组件版本，却没有完成实例重启或集群节点同步，风险仍可能停留在某台被遗忘的应用服务器上。

    国内企业还常同时运行生产、灾备、测试和外包运维环境。测试系统为了联调临时开放公网、灾备节点因为切换演练保留旧版本，这些地方往往不在核心补丁报表里。攻击者不需要直接接触生产财务数据，先控制一个可访问接口或共享凭据的低优先级节点，就可能获得下一跳。

今天先完成四项动作

    第一，按 SAP 官方安全说明盘点 NetWeaver AS Java、相关内核版本和实例清单，包含生产、灾备、测试及开发租户。

    第二，从防火墙、负载均衡和云安全组核对哪些管理与应用端口可从互联网、供应商网络或办公网访问，临时关闭无业务必要的入口。

    第三，按厂商适用说明部署补丁并完成节点重启、集群一致性检查和回归验证，不能只记录“已下载”。

    第四，回看补丁前窗口内的认证失败、异常 HTTP 请求、服务进程重启、账户与角色变化及异常外联；发现迹象时先隔离相关节点并保留日志。

用业务连续性控制风险，而不是拖延修复

    ERP 补丁经常被业务高峰和变更冻结推迟。更可行的做法是先完成暴露面收缩和备份校验，再安排受控维护窗口：准备内核回退方案、验证关键接口、让财务或供应链代表参与验收。把业务验证纳入补丁流程，通常比因担心业务中断而长期不修更能降低总风险。

    对于无法当日更新的实例，应限定访问来源、撤销临时外部账号、加强网关日志保留，并禁止它承担管理员跳板或与生产共享高权限凭据。这些措施只是在等待补丁期间减少攻击路径，不能替代官方修复。

信息边界

    本文依据 SAP 九月安全更新和公开技术媒体对 CVSS 10.0 漏洞的报道。公开信息表明风险等级和未认证远程代码执行条件，但没有公开、可独立核验的中国大陆受害者清单；受影响版本与具体补丁步骤须在发布前以 SAP 官方 Security Notes 为准。

结语

    SAP 内核漏洞的危险不只是一个高分数，而是它可能绕过“先拿到业务账号”这道常见前提。把版本清单、公网入口、补丁验证和日志回看放进同一次应急变更，才能避免 ERP 的维护窗口变成攻击者的等待窗口。

先确定受影响面，避免漏掉周边节点

    排查不要只问生产 SAP 是否打过补丁。Basis 团队应导出系统编号、主机名、SID、实例角色、内核版本、运行状态和责任人，网络团队再标记每个实例可达的来源网络。Web Dispatcher、反向代理、负载均衡、VPN、供应商运维通道和云安全组都会改变实际暴露面。集群环境还要逐节点确认运行中的版本，不能只看中央管理页面的成功提示。

    在更新前把网关访问、认证、应用错误和操作系统审计日志拉到独立存储，覆盖公告前后的观察窗口。重点看陌生来源连续请求、异常管理接口、服务重启、账户角色变化和非常规外联。若怀疑被利用，先隔离外部入口并保留证据，再安排故障转移、凭据轮换和接口核查，不要先删除日志或直接重装。

    补丁变更单应把技术完成与业务验收分开记录。技术侧记录 Security Note、适用版本、补丁包校验值、各实例的部署时间、重启结果和回退点；业务侧用真实但脱敏的订单、采购、报表、接口和批处理任务验证关键流程。只有两边结果都归档，后续审计才能回答某个节点何时恢复到受控状态，也能避免故障发生后各团队对版本和责任范围各执一词。

    维护窗口之外，网络侧仍有可以当天落实的措施：管理端口只允许跳板机和指定运维网段访问，供应商远程连接采用独立账号、限时授权和会话审计，测试环境不得沿用生产高权限密钥。补丁后的七天内持续对比 Web 访问量、失败认证和外联基线；突然新增的路径、账号或目的地，应按安全事件而不是普通性能波动进行复核。

    面向管理层的状态报告应明确区分已修复、已缓解、待验证和无法修复四类节点，并附上业务责任人与预计完成时间。这样高风险例外不会被一句“等待窗口”长期掩盖。

热点来源

    来源：SAP Security Patch Day，2026-09-08；支持事实：九月 SAP 安全更新与 Security Notes。链接：https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html

    来源：The Hacker News，《SAP Patches CVSS 10.0 Kernel Flaw Enabling Unauthenticated Remote Code Execution》，2026-09-09；支持事实：CVSS 10.0、内核与未认证远程代码执行的公开描述。链接：https://thehackernews.com/2026/09/sap-patches-cvss-100-kernel-flaw.html

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：字节脉搏实验室 tcode tcode《SAP 内核出现满分远程代码执行漏洞：别让 ERP 补丁停在维护窗口里》