SAP schließt ICM2SHELL und PROXYGATE mit CVSS 10

SAP hat seine monatlichen Sicherheitsupdates veröffentlicht. Der Patchday umfasst 35 neue Sicherheitshinweise, vier Sicherheitsmeldungen auf GitHub und drei Aktualisierungen früherer Hinweise. Neun davon stuft SAP als kritisch ein, 17 als hoch. Vier Schwachstellen erhielten den höchsten CVSS-Wert von 10,0. Sie betreffen SAP NetWeaver, den SAP Web Dispatcher und SAP Gateway und lassen sich laut SAP ohne Anmeldung aus der Ferne ausnutzen, um betroffene Systeme vollständig zu übernehmen. Hinweise auf aktive Angriffe gibt es bislang nicht.

ICM2SHELL über WebSocket-Verkehr

Drei der vier Lücken hat das auf SAP-Sicherheit spezialisierte Unternehmen Onapsis gefunden. Unter dem Namen ICM2SHELL fasst es zwei Speicherfehler zusammen: CVE-2026-76964 im Internet Communication Manager (ICM) von NetWeaver AS ABAP und CVE-2026-89126 im SAP Web Dispatcher. Ausgelöst werden sie über WebSocket-Verbindungen. Die Komponenten sind darauf ausgelegt, Anfragen aus dem Netz anzunehmen.

„ICM2SHELL macht einen gewöhnlichen Teil des Webverkehrs zu einem Einfallstor für Angreifer.”
Onapsis

Angreifer benötigten weder einen SAP-Benutzer noch ein Passwort oder eine Interaktion von Nutzern.

PROXYGATE täuscht interne Server vor

Die dritte von Onapsis gefundene Lücke, PROXYGATE (CVE-2026-89103), steckt in SAP Gateway. Sie bringt das Gateway dazu, einen externen, nicht angemeldeten Angreifer für einen der internen Anwendungsserver zu halten. Ursache ist eine fehlerhafte Zugriffskontrolle in der Standardkonfiguration. Angreifer können dadurch Code mit den Rechten des Kontos ausführen, dem die SAP-Installation gehört. Die vierte Lücke mit CVSS 10 (CVE-2026-120017) betrifft die Anmeldung per SAML2 in AS ABAP. Über sie können Angreifer sich als beliebiger Benutzer ausgeben. Hinzu kommen drei kritische Lücken mit einem Wert von 9,9, für die Angreifer allerdings ein Benutzerkonto mit geringen Rechten benötigen.

Gateway, Web Dispatcher und ICM zuerst

Administratoren sollten zuerst SAP Gateway, Web Dispatcher und ICM aktualisieren, da Angreifer diese Komponenten ohne Zugangsdaten erreichen. Für ICM und Web Dispatcher sind Kernel-Updates nötig. Wie schnell Angreifer reagieren, zeigt ein Bericht von Onapsis und Recorded Future vom Oktober: Bei 2025 und 2026 gepatchten SAP-Lücken vergingen im Median nur ein bis drei Tage bis zum ersten Exploit oder öffentlichen Proof of Concept. Eine Lücke mit höchstem Schweregrad in SAP Commerce Cloud wurde im August wenige Tage nach dem Patch angegriffen. Die US-Behörde CISA hat seit November 2021 14 SAP-Lücken als aktiv ausgenutzt eingestuft.

(red)