SAP ICM2SHELL Schwachstelle: Vier CVSS-10-Lücken

Die SAP ICM2SHELL Schwachstelle ist eine von vier Lücken mit Höchstwertung, die SAP am Patch Day vom 10. November geschlossen hat. Sie liegen in den Komponenten, die zum Netz hin offen sind: Internet Communication Manager (ICM), Web Dispatcher, Gateway und die SAML2-Anmeldung. Drei der vier lassen sich ohne Anmeldung erreichen. Stand 11. November meldet keine der von uns geprüften Quellen Angriffe.

Was ist passiert bei der SAP ICM2SHELL Schwachstelle

ICM2SHELL ist eine Schwachstelle im SAP-Kernel-Code, der HTTP-, HTTPS- und WebSocket-Verkehr verarbeitet, geführt als CVE-2026-76964 (ICM, SAP-Note 3778530) und CVE-2026-89126 (Web Dispatcher, Note 3778556), beide CVSS 10.0. Laut Onapsis, die sie gefunden haben, bringt eine präparierte Folge von WebSocket-Nachrichten die Komponente dazu, Daten des Angreifers hinter ihren reservierten Speicherbereich zu schreiben. Onapsis sagt, man habe SAP einen funktionierenden Exploit für Remote Code Execution ohne Anmeldung als Benutzer <sid>adm übergeben, und eine einzige Verbindung bringe den Prozess auf jedem getesteten Kernel-Release zum Absturz. WebSocket-Unterstützung ist standardmäßig aktiv, ein System ist also auch dann betroffen, wenn keine Anwendung sie nutzt.

PROXYGATE (CVE-2026-89103, SAP Gateway, Note 3798345) bringt das Gateway dazu, einen Angreifer von außen für einen internen Applikationsserver zu halten, und führt OS-Befehle als <sid>adm aus, ohne Benutzername, Passwort oder Zertifikat. Ob ein System angreifbar ist, hängt von der Proxy-Zugriffskontrollliste des Gateways (prxyinfo) ab. Eine großzügige Liste, etwa mit Platzhalter für Quelle und Ziel, lässt das System bei jedem Patch-Stand verwundbar. Gibt es keine prxyinfo-Datei, entscheidet der Parameter gw/acl_mode_proxy, und der steht ab Werk auf 0, was alles erlaubt. Onapsis sagt, SAPs Fix besteht bei den meisten Kernels aus einem Kernel-Patch plus gw/acl_mode_proxy = 1, Patchen allein schließt die Lücke also nicht. Die vierte Lücke, CVE-2026-120017 im NetWeaver SAML2 Service Provider (Note 3849308), erlaubt einem Angreifer ohne Anmeldung in bestimmten Konfigurationen, sich als beliebiger Benutzer auszugeben.

SAP hat 35 neue Security Notes veröffentlicht, neun davon kritisch. Onapsis sagte am 10. November, man habe keine Ausnutzung beobachtet, und keine andere von uns gelesene Quelle meldet Stand 11. November Angriffe.

Warum das wichtig ist

SAP betreibt bei vielen mittelständischen Unternehmen in Deutschland Finanzen, Einkauf, Produktion und Personal, und <sid>adm ist das Konto, dem die Installation gehört.

Im August hat SAP CVE-2026-58231 in Commerce Cloud geschlossen, eine Lücke mit Höchstwertung, die laut Defused wenige Tage nach dem Patch ausgenutzt wurde; wir haben am 14. August darüber berichtet. Laut BleepingComputer hat SAP seitdem jeden Monat eine weitere Lücke mit Höchstwertung geschlossen, und CISA führt 14 SAP-Lücken als ausgenutzt seit 2021, drei davon nutzten Ransomware-Gruppen.

Was Sie jetzt tun sollten

1. Besorgen Sie die November-Notes (3778530, 3778556, 3798345, 3849308) und gleichen Sie jeden Kernel damit ab: jeden Applikationsserver, jeden Web Dispatcher und den in HANA XS eingebetteten. Kernel außerhalb der Wartung bekommen womöglich keinen Fix und brauchen ein Upgrade. Bei 7.93 ist Patch-Level 419 noch betroffen, ab 420 ist die Lücke geschlossen, laut Onapsis.
2. Patchen Sie nach Erreichbarkeit: zuerst Web Dispatcher und ICM mit Internetzugang, dann Gateways, dann interne Systeme, Produktion zuerst.
3. Falls ein System noch nicht gepatcht werden kann, beschreibt SAP-Note 3778788 zwei temporäre Workarounds: icm/HTTP/support_websocket_upgrade=FALSE setzen und neu starten, oder einen Web Dispatcher mit höherem Patch-Level vor Backends setzen, die nur über ihn erreichbar sind. Beides kann laufende Szenarien stören und ersetzt den Patch nicht.
4. Schränken Sie beim Gateway zuerst eine großzügige prxyinfo-Datei ein. Spielen Sie dann den Patch aus Note 3798345 ein und setzen Sie gw/acl_mode_proxy = 1 auf jedem Applikationsserver (Kernel 7.93 und 9.16 brauchen nur den Parameter). Beschränken Sie die Gateway-Ports (33NN, 48NN) auf die Hosts, die RFC brauchen; ein Gateway hat keinen Grund, aus dem Internet erreichbar zu sein. Wenn Sie SAML-Single-Sign-On für ABAP nutzen, gleichen Sie Ihre Konfiguration mit der Note zu CVE-2026-120017 ab.
5. Onapsis erwartet, dass jeder Ausnutzungsversuch ICM oder Web Dispatcher mindestens einmal abstürzen lässt. Prüfen Sie dev_icm und dev_webdisp auf unerwartete Neustarts.

DIESEC Einschätzung

Annahme: In vielen SAP-Landschaften kann niemand schnell sagen, welcher Web Dispatcher, welches Gateway und welcher ICM von wo erreichbar ist. Der Kernel-Patch ist die Lösung, aber Ihre Erreichbarkeit bestimmt die Reihenfolge.

Nicht sicher, welche Ihrer SAP-Komponenten aus dem Internet erreichbar sind? Kontaktieren Sie DIESEC für eine Expositions-Analyse und Patch-Verifizierung Ihrer SAP-Landschaft.

Quellen: Onapsis | SAP | SecurityWeek | heise | BleepingComputer
Veröffentlicht: 2026-11-13 | Kategorie: Tägliche News | ~4 Min. Lesezeit