SAP, ICM2SHELL ve PROXYGATE kritik düzeydeki açıkları yamaladı

SAP, Kasım 2026 güvenlik güncellemelerinde 35 güvenlik açığını yamaladı. Bunların arasında 10/10 CVSS önem derecesi verdiği dört kritik açık da bulunuyor. Açıklar NetWeaver, Web Dispatcher ve Gateway yazılımlarını etkiliyor. SAP, kimlik doğrulaması gerektirmeyen saldırganların bu açıklardan yararlanarak hedef sistemleri uzaktan tamamen ele geçirebileceğini belirtti.

NetWeaver bileşenlerindeki iki açık, Internet Communication Manager'daki bellek bozulması (CVE-2026-76964) ve SAML2 Service Provider'daki kimlik doğrulama eksikliği (CVE-2026-120017). Diğer iki açık ise SAP Gateway'deki erişim denetimi zafiyeti (CVE-2026-89103) ve SAP Web Dispatcher'daki bellek bozulması (CVE-2026-89126).

Açıklardan üçünü bulan ve SAP'ye bildiren Onapsis, CVE-2026-76964 ile CVE-2026-89126'yı ICM2SHELL adı altında izliyor; CVE-2026-89103'e ise PROXYGATE adını veriyor. Şirket, ICM2SHELL'in SAP kullanıcısı, parolası veya kullanıcı etkileşimi olmadan uzaktan kod yürütmeye olanak sağlayabileceğini söyledi. PROXYGATE'in de kimliği doğrulanmamış dışarıdan bir saldırganın kendisini dahili bir uygulama sunucusu gibi göstererek SAP sistemini denetimi altına almasına imkân verebileceğini belirtti.

SAP son aylarda başka kritik düzeydeki açıkları da giderdi. Şirket, ağustos ayında Commerce Cloud'daki CVE-2026-58231'i yamaladı. Eylül ve ekim aylarında ise SAP Kernel'deki CVE-2026-44756'yı ve çok kiracılı BTP uygulamalarını etkileyen OAuth2 SSRF açığı CVE-2026-89111'i ele aldı. CISA, Kasım 2021'den bu yana SAP'deki 14 güvenlik açığını aktif olarak istismar edilenler arasında gösterdi; fidye yazılımı grupları da bunların üçünü kullandı.