SAP Patchday November 2026 Drei CVSS-10.0-Schwachstellen in SAP-Lösungen

Der November-Patchday von SAP fällt ungewöhnlich umfangreich aus. Zwei kritische Sicherheitslücken in ICM und Web Dispatcher sowie im Gateway ermöglichen unter bestimmten Voraussetzungen die Ausführung von Systembefehlen.

Der Security-Anbieter Onapsis, der sich auf SAP-Sicherheit spezialisiert hat, analysiert jeden Monat die Schwachstellen, die das deutsche Software-Haus bei seinen Patchdays behebt und liefert ebenfalls Sicherheitsempfehlungen. Im November sei der Patchday von SAP deutlich umfangreicher ausgefallen als ein durchschnittlicher Patchday. Die Anzahl der HotNews und der High Priority Notes seien mit insgesamt 25 deutlich über dem üblichen Monatsdurchschnitt. Angesichts des steigenden Patch-Volumens empfiehlt Onapsis Unternehmen, sämtliche Schwachstellen zu bewerten und das Exposure Management ihrer kritischen SAP-Landschaften kontinuierlich im Blick zu behalten.

Teil 1: Häufigste Sicherheitslücken und typische Angriffe

Cybersicherheit für SAP: Grundlagen & Best Practices

„ICM2SHELL“ im SAP Internet Communication Manager

Unter „ICM2SHELL“ führt Onapsis eine kritische Schwachstelle im SAP Internet Communication Manager (ICM) und im SAP Web Dispatcher. Offiziell werden die zwei Sicherheitslücken unter EUVD-2026-120656 / CVE-2026-76964 (ICM, CVSS-Score 10.0, EPSS-Score^* 0.43) und EUVD-2026-120674CVE-2026-89126 (Web Dispatcher, CVSS-Score 10.0, EPSS-Score 0.43) geführt. Beide Komponenten nutzen dieselbe Kernel-Logik zur Verarbeitung von WebSocket-Datenverkehr. Durch speziell gestaltete WebSocket-Nachrichten lässt sich dort Speicher über den reservierten Bereich hinaus beschreiben, was je nach Aufbau zum Absturz des Prozesses oder zur Ausführung von Betriebssystembefehlen mit den Rechten des Systembenutzers „<sid>adm“ führen kann.

Wo Dienste WebSocket-Verbindungen ohne Authentifizierung akzeptieren, sind laut Onapsis weder Zugangsdaten noch eine Benutzerinteraktion erforderlich. Die Möglichkeit einer nicht authentifizierten Ausnutzung hängt von der verwendeten Kernel-Version ab. Nach Schätzungen des Onapsis Research Labs könnten Tausende SAP-Systeme mit ICM-basierten HTTP-Schnittstellen über das öffentliche Internet erreichbar sein.

Teil 2: Kernaspekte eines SAP-Cybersicherheitsprogramms

Cybersicherheit für SAP: Umsetzung in der Praxis

„PROXYGATE“ im SAP Gateway

Als „PROXYGATE“ bezeichnen die Analysten eine kritische Schwachstelle im Gateway von SAP. Dabei handelt es sich um EUVD-2026-120662 / CVE-2026-89103 (CVSS-Score 10.0, EPSS-Score 0.32), die die Ausführung von Betriebssystembefehlen ohne vorherige Authentifizierung über das Gateway ermöglicht. Durch eine speziell präparierte Folge von Datenpaketen kann ein externer Angreifer dem Gateway vortäuschen, dass er zu einem internen Host des SAP-Systems gehört. Daraufhin genehmigen die Zugriffskontrolllisten des Gateways die Anfrage und ermöglichen die Ausführung von Betriebssystembefehlen mit den Rechten des SAP-Administratorbenutzers.

Laut Onapsis verhindern auch gehärtete Zugriffskontrolllisten „secinfo“ und „reginfo“ diesen Angriff nicht. Entscheidend sei vielmehr die weniger beachtete Proxy-Zugriffskontrollliste „prxyinfo“, die in mehreren Standardkonfigurationen offen bleibe. Die Schwachstelle ermöglicht Angreifern zudem die laterale Bewegung zu allen weiteren Anwendungsservern des betroffenen SAP-Systems.

Alle Updates des SAP November Patchdays finden Sie hier. Die vollständige Analse des Patchdays von Onapsis finden Sie hier.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Angriffsziel SAP

Strukturelle Schwächen erhöhen das Risiko für SAP-Landschaften

(ID:51014277)