---
title: SAP Maksimum Şiddetteki OAuth2 SSRF Güvenlik Açığına Karşı Uyarıda Bulundu
url: https://www.dataloco.com/tr/sap-maksimum-siddetteki-oauth2-ssrf-guvenlik-acigina-karsi-uyarida-bulundu
published: 2026-10-16T12:45:51+00:00
language: tr
section: Güvenlik
source: https://www.bleepingcomputer.com/news/security/sap-warns-of-maximum-severity-oauth2-ssrf-security-flaw/
organizations: SAP, CISA, Onapsis
publisher: Dataloco
---

# SAP Maksimum Şiddetteki OAuth2 SSRF Güvenlik Açığına Karşı Uyarıda Bulundu

SAP, Ekim 2026 güvenlik güncellemeleri kapsamında birden fazla üründeki 20 güvenlik açığını giderdi. Bu düzeltmeler arasında Python için Cloud SDK içerisinde yer alan maksimum şiddetteki bir güvenlik açığı bulunuyor.

CVE-2026-89111 olarak takip edilen bu maksimum şiddetteki açık, yetkisi olmayan uzak saldırganlar tarafından kimlik bilgilerini çalmak için kullanılabilir. Salı günü yayınlanan bir bildirime göre, Python için SAP Cloud SDK, çok kiracılı BTP uygulamalarını etkileyen bir OAuth2 SSRF açığı içermektedir. tenant_subdomain parametresini kontrol eden bir saldırgan, OAuth2 belirteç isteklerini kendi kontrolündeki bir sunucuya yönlendirerek istemci kimlik bilgilerinin sızdırılmasına neden olabilir.

Ekim 2026 yamalarını hemen uygulayamayan müşteriler, tenant_subdomain değerlerini doğrulamak için bir izin listesi kullanarak sorunu geçici olarak hafifletebilir. Tüketici uygulamaları, parametreyi herhangi bir SDK çağrısına iletmeden önce kayıtlı kiracı alt alan adlarının bilinen bir izin listesine göre doğrulayarak bu açığı azaltabilir.

Şirket ayrıca SAP NetWeaver Visual Composer'da, sınırlı yetkilere sahip uzak saldırganların savunmasız sistemleri tamamen ele geçirmesine izin verebilecek kritik bir bozuk erişim kontrolü açığı olan CVE-2026-89110'u giderdi. SAP Manufacturing Integration and Intelligence'da düzeltilen bir diğer kritik açık olan CVE-2026-89108 ise, yönetici yetkilerine sahip tehdit aktörlerinin, temel Java uygulamasında yüksek yetkili bir hesap oluşturarak sistem üzerinde yönetici kontrolü sağlamasına olanak tanıyordu.

Geçmiş aylarda SAP, farklı bileşenlerdeki diğer maksimum şiddetteki açıkları da kapattı. Ağustos ayında Commerce Cloud platformundaki CVE-2026-58231 açığı düzeltildi, ancak bu açık düzeltildikten birkaç gün sonra aktif olarak kullanıldığı belirtildi. Eylül ayında ise SAP Kernel kodundaki CVE-2026-44756 bellek bozulması açığı giderildi. Onapsis araştırmacıları tarafından OVERPASS olarak adlandırılan bu bileşenin, internete açık 10.000'den fazla SAP sistemi tarafından kullanıldığı ve saldırılara maruz kalabileceği tahmin edilmişti.

Kasım 2021'den bu yana CISA, 14 SAP güvenlik açığını aktif olarak istismar edilen açıklar kataloğuna ekledi. Bu açıkların üçü fidye yazılımı saldırılarında kullanıldı.

## This story in other languages

- [עברית](https://www.dataloco.com/he/sap-oauth2-ssrf)
- [Norsk](https://www.dataloco.com/no/sap-retter-kritisk-sikkerhetssvikt-i-python-sdk)
- [Русский](https://www.dataloco.com/ru/sap-predupredil-o-kriticeskoi-uiazvimosti-oauth2-ssrf-v-cloud-sdk-dlia-python)
- [العربية](https://www.dataloco.com/ar/sap-yhthr-mn-khta-amny-mn-aldrg-alkso-fy-brotokol-oauth2)
- [Polski](https://www.dataloco.com/pl/sap-ostrzega-przed-luka-bezpieczenstwa-oauth2-ssrf-o-maksymalnym-stopniu-krytycznosci)
- [Português (Brasil)](https://www.dataloco.com/pt-br/sap-corrige-falha-critica-de-seguranca-em-sdk-para-python)