8 września 2026 SAP opublikował Security Note 3747649 dla CVE-2026-44756 (SAP Extended Passport Processing). CVSS 3.1: 10.0 Critical (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Ale publiczny opis jest ostrożniejszy niż część automatycznych interpretacji: memory safety vulnerability w EPP processing library, unauthenticated attacker wysyła malformed EPP header, co może prowadzić do undefined behavior i abnormal program termination; CVE deklaruje potencjalny wysoki wpływ na C/I/A.
To precyzyjniejszy obraz niż nagłówek „SAP 0-day RCE CVSS 10” — którego nie należy pisać bez evidence.
Dlaczego CVSS 10 przy opisie o memory corruption
CVSS ocenia potencjalny impact skutecznej eksploatacji wg CNA. Memory corruption w network-facing parserze może potencjalnie pozwalać na więcej niż crash. Ale jest różnica między memory corruption may enable high C/I/A a researcher demonstrated controlled instruction pointer and RCE. Oba stany są pilne, ale mają inny confidence. Dojrzały rekord rozdziela pięć pól: severity (10.0), technical exploitability (remote unauth malformed input do memory-unsafe parsera), exploit maturity (public exploit/reliable RCE: unknown), active exploitation (not confirmed), asset exposure (zależny od reachable EPP interfaces).
Product mapping i runtime role
SAP mapuje CVE na wiele linii (KRNL64NUC/UC 7.22–8.04, WEBDISP 9.16–9.20, KERNEL 7.22–9.20): one CVE → multiple binary/product families → many runtime roles. Skaner na samym CPE może nie wiedzieć, czy WEBDISP 9.18 i KERNEL 9.18 wymagają tej samej paczki i verification. Finding warto modelować per runtime role (Web Dispatcher / App Server kernel / inny EPP-processing component) — inny exposure, owner, maintenance window i rollback, nawet dla jednego CVE. Publiczny Web Dispatcher prawdopodobnie ma wyższy lokalny priorytet — ale nie zakładaj exposure z nazwy produktu.
Controls, weryfikacja i enrichment AI
Najlepszy tymczasowy control dla memory corruption w parserze to ograniczenie dostępu do funkcji/protokołu (network allowlisting, izolacja Web Dispatcher) — bez publicznego workaroundu nie pisz „WAF reguła X eliminuje CVE” (signature-based rzadko pokrywa memory corruption). Weryfikacja: każdy affected runtime zidentyfikowany, właściwy SAP Note per stream, restart, runtime version, brak starych procesów, kompletność HA. To też ostrzeżenie dla enrichment: agregator z CWE-120 + CVSS 10 + AV:N + C:H/I:H/A:H może wygenerować „unauthenticated attacker can execute arbitrary code remotely” — technicznie możliwe, ale nie wynika wprost z primary description. Oznaczaj różnicę CNA-confirmed impact vs inferred exploit outcome — inaczej enrichment tworzy własne fakty.
Wniosek
CVE-2026-44756 to przykład, jak czytać Critical bez paniki i bez bagatelizowania. Zasada dla VE: severity opisuje potencjalny impact; exploit evidence opisuje to, co rzeczywiście pokazano lub zaobserwowano — nigdy nie zastępuj jednego drugim.
Powiązane na blogu
- OpenShift ACM: CVSS 9.9 vs EPSS — liczba bazowa to nie priorytet
- MCP: 12 CVE i jakość danych — CNA-confirmed vs inferred
Źródła
- SAP — Security Patch Day September 2026, Note 3747649 (08.09.2026) — support.sap.com
- CVE.org — CVE-2026-44756 — cve.org
Nota redakcyjna: stan informacji 8 września 2026. CVE-2026-44756 (SAP Extended Passport Processing, CVSS 10.0): unauthenticated malformed EPP header powoduje memory-safety violation i crash; publiczny opis nie potwierdza działającego RCE ani active exploitation. Artykuł koncentruje się na rozdzieleniu severity od exploit evidence.