SAP je 10. novembra objavio mjesečne sigurnosne zakrpe za svoje poslovne sisteme, a među njima su dva propusta koje su istraživači nazvali ICM2SHELL i ProxyGate. Oba imaju najvišu ocjenu ozbiljnosti CVSS 10,0 i, prema istraživačima koji su ih otkrili, napadaču bez korisničkog naloga mogu omogućiti preuzimanje SAP servera.
Ukupno je objavljeno 42 nove i ažurirane sigurnosne napomene, od čega devet kritičnih. Sigurnosna firma Onapsis, koja je otkrila dva velika propusta, broji 43 napomene i 12 najhitnijih (HotNews), jer uključuje i ažuriranja ranijih napomena te dvije objavljene kasnije. Nijedan izvor ne navodi da se propusti već koriste u napadima.
Šta su ICM2SHELL i ProxyGate
ICM2SHELL je greška koja dovodi do oštećenja memorije u dijelu SAP kernela koji obrađuje WebSocket promet. Isti kod koriste Internet Communication Manager (ICM) i SAP Web Dispatcher, komponenta koja je često izložena internetu. Prema Onapsisovoj analizi, napadač bez prijave može posebno pripremljenim mrežnim prometom pokrenuti vlastiti kod i preuzeti sistem. Prema SecurityWeeku, kod bi se izvršavao s ovlastima administrativnog SAP korisnika, a napad može i oboriti sistem. Propust nosi dvije oznake, CVE-2026-76964 i CVE-2026-89126, i ispravljaju ga napomene 3778530 i 3778556. Onapsis navodi da je SAP-u dostavio i ispravan exploit.
ProxyGate (CVE-2026-891035) je propust u SAP Gatewayu. Zadana lista kontrole pristupa prxyinfo daje visoke ovlasti, pa napadač izvana može biti tretiran kao interni aplikacijski server. Prema SecurityWeeku i Onapsisu, to omogućava pokretanje koda bez prijave i bez ikakve radnje korisnika.
Četvrti propust s ocjenom 10,0 je CVE-2026-120017 u SAML2 servisu za prijavu u NetWeaver AS ABAP. U određenim konfiguracijama napadač može zaobići prijavu i predstavljati se kao bilo koji korisnik, uključujući administratore.
Među ostalim kritičnim napomenama su propusti u S4CRM-u, SAP NetWeaveru, S/4HANA, BusinessObjects BI platformi i SAP Business AI platformi, s ocjenama od 9,1 do 9,9. Za AI platformu SAP je objavio zakrpu za lanac propusta koji Onapsis zove „php2shell”, s ocjenom 9,8: napadač ga može iskoristiti preko mreže, bez ovlasti i bez radnje korisnika.
Onapsis navodi da je njegov istraživački tim učestvovao u otkrivanju 36 propusta obuhvaćenih s 25 napomena ovog mjeseca. Njih 14 pronađeno je uz pomoć alata koji automatski traži ranjivosti pomoću umjetne inteligencije.
Šta uraditi i zašto ne smijete čekati
Za ProxyGate sama zakrpa nije dovoljna. Onapsis upozorava da administratori nakon instalacije moraju ručno postaviti jedan profilni parametar, inače sistem ostaje ranjiv. Za ICM2SHELL zakrpu treba instalirati i na ICM i na Web Dispatcher. Isključivanje WebSocket podrške privremeno uklanja rizik, ali Onapsis to ne preporučuje jer narušava rad mnogih aplikacija i integracija.
Ovo nije prvi put ove godine da SAP krpi ovako ozbiljne greške u jezgri sistema. Evropski tim za računarske incidente CERT-EU je u septembru izdao upozorenje za dva kritična propusta, OVERPASS u SAP kernelu i S4GET u NetWeaver Message Serveru. Oba su se također mogla iskoristiti na daljinu bez prijave. Za SAP kernel i Web Dispatcher to znači drugi talas hitnih zakrpa u tri mjeseca.
Na platformama za praćenje Iskorištavanje ranjivosti (exploit)već se pojavio alat označen kao „PoC exploit” za CVE-2026-120017. Njegov opis, međutim, kaže da je riječ o alatu za provjeru nivoa zakrpa. To nije dokaz da napadači već iskorištavaju ranjivost, ali pokazuje koliko brzo se oko ovakvih propusta stvara pažnja.
