SAP lagar sårbarheter med högsta allvarlighetsgrad i ICM2SHELL och PROXYGATE

SAP har lagat 35 sårbarheter i sina säkerhetsuppdateringar för november 2026, däribland fyra som företaget bedömde till 10/10 på CVSS-allvarlighetsskalan. Sårbarheterna påverkar NetWeaver, Web Dispatcher och Gateway. SAP uppgav att obehöriga angripare kan utnyttja dem på distans för att ta full kontroll över de berörda systemen.

Två sårbarheter berör NetWeaver-komponenter: minneskorruption i Internet Communication Manager (CVE-2026-76964) och utebliven autentisering i SAML2 Service Provider (CVE-2026-120017). De två andra är bristande åtkomstkontroll i SAP Gateway (CVE-2026-89103) och minneskorruption i SAP Web Dispatcher (CVE-2026-89126).

Onapsis, som hittade och rapporterade tre av problemen, samlar CVE-2026-76964 och CVE-2026-89126 under namnet ICM2SHELL och kallar CVE-2026-89103 för PROXYGATE. Företaget uppgav att ICM2SHELL kan möjliggöra fjärrkörning av kod utan SAP-användare, lösenord eller användarinteraktion. Det sade att PROXYGATE kan låta en obehörig extern angripare utge sig för att vara en intern applikationsserver och ta kontroll över ett SAP-system.

SAP har även lagat andra sårbarheter med högsta allvarlighetsgrad under de senaste månaderna. I augusti lagade företaget CVE-2026-58231 i Commerce Cloud. I september och oktober åtgärdade det CVE-2026-44756 i SAP Kernel och CVE-2026-89111, en OAuth2 SSRF-sårbarhet som påverkar BTP-applikationer med flera klienter. CISA har sedan november 2021 flaggat 14 SAP-sårbarheter som aktivt utnyttjade; ransomwaregrupper har också utnyttjat tre av dem.