Am 10. November 2026 hat SAP seinen monatlichen Patchday ausgerollt: 35 neue Security Notes, vier Sicherheitshinweise auf GitHub und drei Aktualisierungen älterer Notes. Vier Lücken bewertet SAP mit der Höchstnote CVSS 10.0. Sie stecken im Internet Communication Manager (ICM) von SAP NetWeaver AS ABAP, im SAP Web Dispatcher, im SAP Gateway und im SAML2-Service-Provider von AS ABAP. Alle vier lassen sich nach SAPs eigener Beschreibung ohne Anmeldung über das Netz ausnutzen. Angriffe sind bislang nicht bekannt.

Drei der vier Lücken hat das Forschungsteam des SAP-Sicherheitsspezialisten Onapsis gefunden und ihnen Namen gegeben: ICM2Shell für die beiden Speicherfehler in ICM und Web Dispatcher, PROXYGATE für den Fehler im Gateway. Beide führen laut Onapsis zur Ausführung beliebiger Betriebssystembefehle als <sid>adm – dem Benutzer, dem die SAP-Installation samt Profilen, Secure Store und Datenbankverbindung gehört.

Die vier Notes mit CVSS 10.0

  • Note 3778530, CVE-2026-76964: Speicherfehler im ICM von AS ABAP, Kernel 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 und 9.20.
  • Note 3778556, CVE-2026-89126: Heap-Überlauf im SAP Web Dispatcher 7.53, 7.54, 7.77, 7.93 und 9.16, auch im Web Dispatcher von SAP HANA 2.0 und XS Advanced sowie in den Kerneln 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 und 9.20.
  • Note 3798345, CVE-2026-89103: fehlerhafte Zugriffskontrolle im SAP Gateway, Kernel 7.22 (auch 7.22EXT), 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20 und 9.21.
  • Note 3849308, CVE-2026-120017: fehlende Authentifizierung im SAML2-Service-Provider von AS ABAP und ABAP Platform, SAP_BASIS 702, 731, 740, 750 bis 758, 816 sowie 920 bis 922.

SAP vergibt für seine Produkte selbst CVE-Nummern. Die Wertung 10.0 stammt aus SAPs CVE-Einträgen, jeweils mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: Angriff über das Netz, geringe Komplexität, weder Rechte noch Mitwirkung eines Nutzers nötig. Die US-Behörde CISA hat in ihrer Zusatzbewertung am 10. November für alle vier „keine Ausnutzung“ vermerkt, den Angriff aber als automatisierbar eingestuft. Öffentliche Exploits sind nicht bekannt, Onapsis hält Details zurück.

ICM2Shell: Fehler beim Zusammensetzen von WebSocket-Nachrichten

Über den ICM läuft der HTTP-, HTTPS- und WebSocket-Verkehr eines SAP-Systems, auch für Fiori und OData. Der Web Dispatcher, der oft als Reverse Proxy am Netzrand steht, nutzt dieselbe Codebasis. Laut Onapsis liegt der Fehler dort, wo beide fragmentierte WebSocket-Nachrichten wieder zusammensetzen: Eine präparierte Nachrichtenfolge lässt sie Daten des Angreifers über das Ende des reservierten Speichers schreiben. Das führt zum Absturz oder zu einer gezielten Speicherbeschädigung. Onapsis hat SAP nach eigenen Angaben einen funktionierenden Exploit übergeben, der ohne Anmeldung Befehle als <sid>adm ausführt.

Heikel: Die WebSocket-Unterstützung ist standardmäßig aktiv, auch wenn keine Anwendung sie nutzt; S/4HANA bringt laut Onapsis sogar ICF-Dienste mit, die WebSocket ohne Authentifizierung annehmen. Der Web Dispatcher setzt die Nachrichten selbst zusammen – die Komponente, die das SAP-System vor dem Internet schützen soll, ist damit als erste angreifbar. Betroffen ist laut Onapsis jedes AS-ABAP-System ab Kernel 7.40 sowie jeder Web Dispatcher. AS Java und Kernel 7.22 sind nicht betroffen, Dual-Stack-Systeme schon. Kernel ohne Wartung (7.40, 7.41, 7.42, 7.45, 7.49, 7.73, 7.81, 7.85 und 7.89) bekommen womöglich keine Korrektur und müssen auf einen gewarteten, abwärtskompatiblen Kernel wechseln.

Symbolbild: Serverracks in einem Rechenzentrum

Bild: Symbolbild – Carl Lender / Wikimedia Commons, CC BY 2.0

PROXYGATE: Das Gateway hält Angreifer für einen eigenen Server

Das SAP Gateway nimmt RFC-Aufrufe entgegen und kann Programme auf dem Host starten. Was erlaubt ist, regeln die Zugriffslisten secinfo, reginfo und prxyinfo; gehärtete Systeme lassen meist nur Anfragen von „local“ und „internal“ zu, also aus dem eigenen SAP-System. Genau diese Einordnung hebelt PROXYGATE aus. Laut SAP aktiviert das Gateway eine Standard-Zugriffsliste mit weitreichenden Rechten, durch die ein externer Angreifer als interner Applikationsserver gilt. Onapsis verortet den Fehler in der CPI-C-Schicht: Präparierte Anfragen lassen das Gateway glauben, sie kämen von einem internen Server. Es startet dann, was der Angreifer verlangt, im schlimmsten Fall einen Betriebssystembefehl als <sid>adm. Gehärtete secinfo- und reginfo-Listen helfen nicht.

Ob ein System angreifbar ist, entscheidet laut Onapsis die prxyinfo-Datei. Ist sie restriktiv, ist das Gateway aus fremden Netzen nicht angreifbar; ist sie offen, etwa mit P SOURCE=* DEST=*, ist es unabhängig vom Patchstand verwundbar. Fehlt die Datei, entscheidet der Profilparameter gw/acl_mode_proxy, der aus Kompatibilitätsgründen auf 0 steht und damit jede Proxy-Verbindung erlaubt. Die Korrektur besteht deshalb bei den meisten Kernel-Releases aus einem Kernel-Patch plus gw/acl_mode_proxy = 1.

SAML2-Lücke und weitere kritische Notes

Bei CVE-2026-120017 prüft der SAML2-Service-Provider, also die Single-Sign-on-Anmeldung über einen Identity Provider, eingehende Assertions laut SAP unter bestimmten Konfigurationen nicht ausreichend. Ein Angreifer ohne Anmeldung kann sich so als beliebiger Nutzer ausgeben, auch als privilegierter. Der CVE-Eintrag nennt als Fehlerklasse die mangelhafte Prüfung kryptografischer Signaturen. Welche Konfigurationen betroffen sind, steht nur in der Note, die eine Anmeldung bei SAP voraussetzt.

Insgesamt stuft SAP neun neue Notes als kritisch ein. Dazu gehören eine Code-Injection in NetWeaver Knowledge Management (3809153, CVSS 9.9), eine Befehlsinjektion in AS ABAP (3792735, 9.9), eine fehlende Berechtigungsprüfung in S4CRM (3834842, 9.9), zwei CSRF-Lücken in Web Dispatcher und ICM (3804858, 9.6) und eine XXE-Lücke in BusinessObjects (3799117, 9.1). Zwischen den Patchdays hatte SAP zudem Notes für die SAP Business AI Platform nachgereicht, darunter eine gegen die PHP-Lückenkette php2shell.

Was du jetzt tun solltest

ICM2Shell und PROXYGATE stecken im Kernel, nicht im Anwendungs-Release. Entscheidend ist der Kernel-Stand jeder einzelnen Instanz.

  1. Bestand aufnehmen: Kernel-Release und Patch-Level jeder Instanz ermitteln, auch von Standalone-Web-Dispatchern, dem Web Dispatcher in HANA XS, Testsystemen mit Kopien der Produktivdaten und Altsystemen. In SAP GUI steht er unter „System“ › „Status“, Befehle für die Konsole stehen unten.
  2. Zuerst die Systeme am Internet patchen: Erreichbare Web Dispatcher und ICM mit den Notes 3778530 und 3778556 aktualisieren, auf jedem Applikationsserver. Korrigiert sind laut Onapsis unter anderem Kernel 7.53 PL 1616/1617, 7.54 PL 710, 7.77 PL 914, 7.93 PL 401 (Stack-Kernel) oder ab PL 420, 9.16 PL 111, 9.18 PL 37 und 9.20 PL 11/13. Vorsicht bei 7.93: PL 419 ist trotz höherer Nummer noch verwundbar. Für SAP HANA 2.0 nennt Onapsis die Revisionen 2.00.079.11 und 2.00.089.05.
  3. Übergangslösung: Die FAQ-Note 3778788 beschreibt zwei Notlösungen. Ein Web Dispatcher auf noch höherem Stand (7.53 PL 1629, 7.54 PL 723, 7.93 PL 430, 9.16 PL 200) schützt Backends, die nur über ihn erreichbar sind, nicht aber mit PROT=ROUTER. Alternativ lässt sich WebSocket abschalten, wovor SAP wegen erheblicher Folgen für Integrationsszenarien allerdings warnt. Ob WebSocket genutzt wird, zeigen Anfragen mit Statuscode 101 im HTTP-Log.
  4. Gateway absichern: Offene prxyinfo-Regeln einschränken, vorher im Testsystem, weil legitime Gateway-zu-Gateway-Szenarien daran hängen können. Ohne prxyinfo gw/acl_mode_proxy = 1 setzen: bei Kernel 7.93 und 9.16 sofort, bei 7.22, 7.53, 7.54, 7.77 und 8.04 nach dem Kernel-Patch aus Note 3798345 (laut Onapsis mindestens 7.22 PL 1612, 7.53 PL 1625, 7.54 PL 718, 7.77 PL 915, 8.04 PL 244). Für 9.20 (PL 16) und 9.21 (PL 4) nennt SAP laut Onapsis nur den Kernel-Patch. Die Gateway-Ports (33NN, 48NN) gehören nicht ins Internet.
  5. SAML2-Note vorziehen: Wer SAML-Anmeldung an ABAP-Systemen nutzt, sollte Note 3849308 mit hoher Priorität einspielen.
  6. Auf Abstürze achten: Angriffsversuche auf ICM2Shell dürften ICM oder Web Dispatcher laut Onapsis mindestens einmal abstürzen lassen. Unerwartete Neustarts in dev_icm oder dev_webdisp sind ein Grund, genauer hinzusehen.
# als <sid>adm: Kernel-Release und Patch-Level anzeigen
disp+work -version
# Versionsinfos einer Instanz, auch eines Web Dispatchers (NN = Instanznummer)
sapcontrol -nr NN -function GetVersionInfo

Die beiden Profilparameter aus den Notes; wo genau der WebSocket-Schalter hingehört, unterscheidet sich laut Onapsis zwischen AS ABAP, Web Dispatcher, HANA XS Classic und XS Advanced:

# Gateway: restriktive Proxy-Vorgabe, wenn keine prxyinfo existiert (Note 3798345)
gw/acl_mode_proxy = 1
# Notlösung gegen ICM2Shell (FAQ-Note 3778788): schaltet WebSocket ab, Folgen vorher prüfen
icm/HTTP/support_websocket_upgrade = FALSE

Kunden in SAPs Private Cloud, etwa mit RISE with SAP, verweist Onapsis zusätzlich auf Note 3849055. Weil auf ERP-Systemen Finanz-, Personal- und Lieferkettendaten liegen, sollten die vier Notes nicht bis zum nächsten regulären Wartungsfenster warten.

Quellen

Bildnachweis