SAP Güvenlik Uyarıları - Aralık 2025
2025 yılının Aralık ayında 15 güvenlik uyarısı yayınlandı. 3 kritik, 5 yüksek, 7 orta ve 0 düşük seviyeli uyarılar tespit edildi.
Bektas OZKAN
İçerik Editörü
Acil Durum: SAP Güvenlik Bülteni ve Yama Analizi – Aralık 2025
Yayınlanma Tarihi: 10 Aralık 2025
Kategori: Siber Güvenlik / SAP Basis
SAP, 2025 yılının son ayında sistem yöneticilerini ve güvenlik ekiplerini yakından ilgilendiren önemli bir güvenlik paketi yayınladı. Özellikle Solution Manager ve Commerce Cloud üzerinde tespit edilen ve CVSS skorları 10'a yaklaşan kritik zafiyetler, bu ayın "Patch Day" gündemini oldukça ısıtıyor.
İşte Aralık 2025 SAP Güvenlik Uyarıları için detaylı analizimiz ve yol haritası.
📊 Yönetici Özeti: Durum Ne Kadar Ciddi?
Aralık ayında toplam 15 güvenlik uyarısı (Security Note) yayınlandı. Sayısal olarak ortalama bir ay gibi görünse de, içerdiği risk skoru (CVSS) 9.9 olan zafiyetler, bu ayı "Kritik" seviyesine taşıyor.
Risk Dağılımı ve Isı Haritası
Bu ayki yamaların kritiklik dağılımı aşağıdaki gibidir:
| Kritiklik Seviyesi | Uyarı Sayısı | CVSS Aralığı | Önerilen Aksiyon Süresi |
|---|---|---|---|
| Kritik | 3 | 9.0 - 10.0 | < 24 Saat (Hemen) |
| Yüksek | 5 | 7.0 - 8.9 | < 72 Saat |
| Orta | 7 | 4.0 - 6.9 | Planlı Bakım Penceresi |
| Düşük | 0 | 0.1 - 3.9 | Rutin Kontrol |
** Editörün Notu:** Bu ay özellikle SAP Solution Manager kullanan kurumların alarm durumunda olması gerekiyor. 9.9 puanlık zafiyet, sistemin merkezi yönetim birimini hedef aldığı için domino etkisi yaratabilir.
Derinlemesine Analiz: "Büyük Üçlü" (Kritik Uyarılar)
Bu ayın en tehlikeli 3 açığına yakından bakalım. Bu yamalar bekletilmemelidir:
1. SAP Solution Manager (CVE-2025-42880) - Puan: 9.9
- Neden Önemli? Solution Manager, tüm SAP peyzajınızı yöneten "orkestra şefi"dir. Buradaki bir açık, saldırganın tüm bağlı sistemlere erişim yolunu açabilir. 9.9 puan neredeyse tam sistem hakimiyeti anlamına gelir.
- Etkilenen: ST 720 versiyonu.
2. SAP Commerce Cloud (CVE-2025-55754) - Puan: 9.6
- Neden Önemli? Genellikle dış dünyaya (internete) açık olan bu platformlar, saldırganların ilk hedefidir. E-ticaret verilerinin ve müşteri bilgilerinin güvenliği için bu yama hayati önem taşır.
3. SAP jConnect for ASE (CVE-2025-42928) - Puan: 9.1
- Neden Önemli? Veritabanı seviyesindeki SDK'larda bulunan açıklar, veri bütünlüğünü ve erişilebilirliğini doğrudan tehdit eder.
Tam Liste: Detaylı Güvenlik Uyarıları Tablosu
Aşağıdaki tablo, CVE numaralarına ve SAP notlarına göre sıralanmış teknik detayları içerir. Ekiplerinizin bu tabloyu baz alarak yama planlaması yapması önerilir.
| SAP Note | CVE No | Açıklama | CVSS | Seviye | Etkilenen Başlıca Bileşenler |
|---|---|---|---|---|---|
| - | CVE-2025-55752 | SAP Security Patch Day | - | ⚡ Orta | SAP Commerce Cloud (HY_COM 2205, 2211) |
| 3685270 | CVE-2025-42880 | Missing Authorization Check | 9.9 | 🚨 Kritik | SAP Solution Manager (ST 720) |
| 3683579 | CVE-2025-55754 | Code Injection | 9.6 | 🚨 Kritik | SAP Commerce Cloud (HY_COM 2205, 2211) |
| 3685286 | CVE-2025-42928 | Improper Input Validation | 9.1 | 🚨 Kritik | SAP jConnect - SDK for ASE (16.0.4, 16.1) |
| 3684682 | CVE-2025-42878 | HTTP Request Smuggling | 8.2 | ⚠️ Yüksek | SAP Web Dispatcher & ICM (7.22) |
| 3640185 | CVE-2025-42874 | Information Disclosure | 7.9 | ⚠️ Yüksek | SAP NetWeaver (Xcelsius) |
| 3677544 | CVE-2025-42877 | Memory Corruption | 7.5 | ⚠️ Yüksek | SAP Web Dispatcher & Content Server (7.53) |
| 3650226 | CVE-2025-48976 | Cross-Site Scripting (XSS) | 7.5 | ⚠️ Yüksek | SAP Business Objects (430, 2025, 2027) |
| 3672151 | CVE-2025-42876 | Missing Authorization | 7.1 | ⚠️ Yüksek | SAP S/4 HANA Private Cloud (Fin. GL) |
| 3591163 | CVE-2025-42875 | Denial of Service (DoS) | 6.6 | ⚡ Orta | SAP NetWeaver ICF (700-702) |
| 3662324 | CVE-2025-42904 | Information Disclosure | 6.5 | ⚡ Orta | App Server ABAP Kernel (7.53, 7.54) |
| 3662622 | CVE-2025-42872 | URL Redirection | 6.1 | ⚡ Orta | SAP NetWeaver Ent. Portal (7.50) |
| 3676970 | CVE-2025-42873 | XSS Vulnerability | 5.9 | ⚡ Orta | SAPUI5 framework (Markdown-it) |
| 3659117 | CVE-2025-42891 | Missing Authorization | 5.5 | ⚡ Orta | SAP Enterprise Search (752-754) |
| 3651390 | CVE-2025-42896 | Information Disclosure | 5.4 | ⚡ Orta | SAP BusinessObjects BI Platform |
Ne Yapmalısınız? (Aksiyon Planı)
Basis ve Güvenlik ekiplerinin aşağıdaki adımları sırasıyla izlemesini öneriyoruz:
- Dışa Açık Sistemleri İzole Edin: Öncelikle SAP Commerce Cloud ve Web Dispatcher üzerindeki yamaları test ortamında doğrulayıp canlıya alın. İnternete açık sistemler her zaman sıfırıncı gün saldırılarına daha açıktır.
- Solution Manager'ı Güncelleyin: CVSS 9.9'luk açık hafife alınmamalıdır. SolMan sisteminizin internete kapalı olması sizi güvende hissettirmesin; içeriden gelebilecek tehditlere (Insider Threat) karşı sisteminiz savunmasız durumda.
- Kapsamlı Test: Özellikle S/4 HANA Private Cloud ve Business Objects yamaları, finansal raporlama süreçlerini etkileyebilir. Yamaları uyguladıktan sonra regresyon testlerini mutlaka gerçekleştirin.
- Workaround (Geçici Çözüm) Kontrolü: Eğer yamaları hemen geçemiyorsanız, ilgili SAP notlarında belirtilen "Workaround" yöntemlerini uygulayarak riski minimize edin.
Kaynakça ve Erişim
- Rapor Tarihi: 10.12.2025
- Resmi Kaynak: SAP Security Patch Day – December 2025
- Veri Seti: SAP Security Alert Database
Bu rapor bilgilendirme amaçlıdır. Sisteminizdeki versiyon farklılıklarına göre etkiler değişebilir. Lütfen aksiyon almadan önce resmi SAP notlarını (SAP Notes) inceleyiniz.
Etiketler
Paylaş
💬 Bu İçerik Hakkında Sorularınız mı Var?
Bu içerikle ilgili geri bildirim vermek veya daha detaylı bilgi almak için bizimle iletişime geçin.