SAP corrige vulnerabilidades de máxima gravedad en ICM2SHELL y PROXYGATE

SAP ha corregido 35 vulnerabilidades en sus actualizaciones de seguridad de noviembre de 2026, entre ellas cuatro que la empresa calificó con 10/10 en la escala de gravedad CVSS. Las vulnerabilidades afectan a NetWeaver, Web Dispatcher y Gateway. SAP indicó que atacantes sin autenticar podrían explotarlas de forma remota para comprometer por completo los sistemas afectados.

Dos fallos afectan a componentes de NetWeaver: corrupción de memoria en Internet Communication Manager (CVE-2026-76964) y falta de autenticación en SAML2 Service Provider (CVE-2026-120017). Los otros dos son un fallo de control de acceso en SAP Gateway (CVE-2026-89103) y corrupción de memoria en SAP Web Dispatcher (CVE-2026-89126).

Onapsis, que descubrió y notificó tres de los problemas, agrupa CVE-2026-76964 y CVE-2026-89126 bajo el nombre ICM2SHELL y denomina PROXYGATE a CVE-2026-89103. La empresa dijo que ICM2SHELL podría permitir la ejecución remota de código sin un usuario de SAP, contraseña ni interacción del usuario. También señaló que PROXYGATE podría permitir que un atacante externo sin autenticar se hiciera pasar por un servidor de aplicaciones interno y tomara el control de un sistema SAP.

SAP también ha corregido otras vulnerabilidades de máxima gravedad en los últimos meses. En agosto parcheó CVE-2026-58231 en Commerce Cloud. En septiembre y octubre abordó CVE-2026-44756 en SAP Kernel y CVE-2026-89111, una vulnerabilidad OAuth2 SSRF que afecta a aplicaciones BTP multiinquilino. CISA ha señalado 14 vulnerabilidades de SAP como explotadas activamente desde noviembre de 2021; grupos de ransomware también explotaron tres de ellas.