SAP, ICM2SHELL ve ProxyGate dahil 10 puanlı dört açığı kapattı

SAP, her ayın ikinci salısı yayımladığı güvenlik güncellemelerinin (Security Patch Day) Kasım paketini 10 Kasım’da yayımladı. SAP’ye göre pakette 35 yeni güvenlik notu ve 4 GitHub güvenlik danışma notu var, ayrıca daha önce yayımlanan 3 not güncellendi. Dokuz not kritik (Critical) önemde ve bunların dördünün CVSS 3.1 puanı 10.0.

10 puanlı dört açık

• CVE-2026-76964, not 3778530: SAP NetWeaver AS ABAP’ın Internet Communication Manager (ICM) bileşeninde bellek bozulması (memory corruption).
• CVE-2026-89126, not 3778556: SAP Web Dispatcher’da bellek bozulması.
• CVE-2026-89103, not 3798345: SAP Gateway’de hatalı erişim denetimi (broken access control).
• CVE-2026-120017, not 3849308: SAP NetWeaver AS ABAP ve ABAP Platform’un SAML2 Service Provider bileşeninde kimlik doğrulama eksikliği. CVE kaydına göre bazı yapılandırmalarda gelen kimlik doğrulama beyanları yeterince doğrulanmıyor ve kimliği doğrulanmamış bir saldırgan, yetkili hesaplar dahil herhangi bir kullanıcının kimliğine bürünebiliyor. SAP_BASIS 702 ile 922 arasındaki sürümler etkileniyor.

İlk üç açığı Onapsis Research Labs buldu. Onapsis’ten Pablo Artuso 10 Kasım’da iki açık için ayrı yazılar yayımladı ve ilk iki CVE’yi tek bir açık olarak ICM2SHELL, üçüncüsünü ProxyGate adıyla tanımladı.

ICM2SHELL

Onapsis’e göre ICM2SHELL, SAP çekirdeğinin WebSocket trafiğini işleme biçimindeki bir bellek bozulması açığı. Aynı kod ICM ile SAP Web Dispatcher’da ortak olduğu için ikisi de etkileniyor. Büyük WebSocket iletileri parçalara bölünerek gönderilebiliyor ve alıcı taraf bu parçaları yeniden birleştiriyor. Açık bu birleştirme adımında bulunuyor. Özel hazırlanmış bir WebSocket iletisi dizisi, ICM’nin ya da Web Dispatcher’ın bağlantı için ayırdığı belleğin sonundan sonrasına saldırganın denetimindeki verileri yazmasına yol açıyor. Onapsis’e göre sonuç ya sürecin hemen çökmesi ya da belleğin denetimli biçimde bozulması ve saldırgan bunu <sid>adm kullanıcısıyla işletim sistemi komutu çalıştırmaya dönüştürebiliyor.

Onapsis, SAP’ye kimlik doğrulaması gerektirmeden uzaktan kod çalıştıran, çalışan bir istismar verdiğini ve hizmet dışı bırakma durumunu test ettiği bütün çekirdek sürümlerinde tekrarlayabildiğini yazıyor. Saldırganın yalnızca HTTP ya da HTTPS portuna ağ erişimi olması yetiyor. Onapsis’e göre WebSocket desteği ICM’de ve Web Dispatcher’da varsayılan olarak açık, yani WebSocket’i kullanan bir uygulama olmasa da sistem etkileniyor. SAP S/4HANA’daki bazı varsayılan ICF servisleri de kimlik doğrulaması olmadan WebSocket bağlantısı kabul ediyor. <sid>adm hesabı SAP kurulumunun sahibi olduğu için bu hesapla komut çalıştırmak pratikte SAP sisteminin tam kontrolü anlamına geliyor.

Onapsis’e göre açık, 7.40 ve üstü çekirdekle çalışan bütün SAP NetWeaver AS ABAP sistemlerini ve SAP HANA XS’e gömülü olan dahil bütün Web Dispatcher’ları etkiliyor. SAP NetWeaver AS Java etkilenmiyor, ancak ABAP yığını nedeniyle çift yığınlı (dual-stack) kurulumlar etkileniyor. Bakımı sona eren 7.40, 7.41, 7.42, 7.45, 7.49, 7.73, 7.81, 7.85 ve 7.89 çekirdekleri de etkileniyor ve bunlar için düzeltme çıkmayabilir. Çekirdek 7.22 etkilenmiyor. Onapsis’in aktardığı düzeltilmiş yama düzeyleri şöyle:

• Çekirdek ve Web Dispatcher 7.53: 1616 ya da 1617
• 7.54: 710
• 7.77: 914
• 7.93: 401 ya da 420. Onapsis’e göre bu sürümde daha yüksek numara her zaman düzeltme anlamına gelmiyor, örneğin 419 hâlâ etkileniyor.
• 9.16: 111
• 9.18: 37
• 9.20: 11 ya da 13
• SAP HANA 2.0 (XS Classic’teki Web Dispatcher): 2.00.079.11 ve 2.00.089.05
• SAP Extended Application Services 1.0 (XS Advanced): SP05 Patch 4

Onapsis’e göre SAP, hemen yama uygulanamayan sistemler için 3778788 numaralı SSS notunda iki geçici önlem veriyor. Bunlardan ilkinde 7.53 PL 1629, 7.54 PL 723, 7.93 PL 430 ya da 9.16 PL 200 ve üstüne güncellenen bir Web Dispatcher, yalnızca kendisi üzerinden erişilen arka uç sistemleri koruyabiliyor. İkinci önlem, icm/HTTP/support_websocket_upgrade parametresini FALSE yapıp bileşeni yeniden başlatarak WebSocket desteğini kapatmak. Onapsis’in aktardığına göre SAP, birçok özellik WebSocket’e bağlı olduğu için bunun etkileşimli ve entegrasyon senaryolarını ciddi biçimde etkileyebileceği uyarısında bulunuyor.

ProxyGate

Onapsis’e göre ProxyGate, SAP Gateway’de kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya izin veren bir açık. Gateway yalnızca ABAP sistemlerinde değil AS Java, çift yığınlı ve bağımsız Gateway kurulumlarında da çalışıyor. Açık Gateway’in CPI-C katmanında. Onapsis’e göre proxy politikası izin verdiğinde, özel hazırlanmış bir istek dizisi Gateway’in dışarıdaki saldırganın isteğini sistemin kendi uygulama sunucularından biri gelmiş gibi görmesine yol açıyor. Erişim listeleri “iç kaynaklara izin ver” kuralını uyguladığında istek kabul ediliyor ve Gateway saldırganın istediği programı başlatıyor. Saldırının en ağır biçiminde bu, <sid>adm kullanıcısıyla çalışan keyfi bir işletim sistemi komutu.

Onapsis’e göre secinfo ve reginfo erişim listeleri bu saldırıyı durdurmuyor. Belirleyici olan, Gateway’in hangi bağlantıları aktarabileceğini belirleyen prxyinfo listesi. Kısıtlayıcı bir prxyinfo saldırıyı engelliyor, geniş izinli bir prxyinfo sistemi açık bırakıyor. Dosya yoksa sonuç gw/acl_mode_proxy profil parametresine bağlı. Onapsis’e göre bazı varsayılan yapılandırmalar sistemi açık bıraktığı için yalnızca sürüm kontrolü ya da yalnızca yama uygulamak güvende olunduğunu göstermiyor. SAP’nin düzeltmesi çoğu çekirdek sürümünde 3798345 numaralı nottaki yama ile gw/acl_mode_proxy = 1 ayarını birlikte gerektiriyor. Onapsis’e göre SAP bu açık için 3810197 numaralı bir SSS notu da yayımladı. Açık bakımı sona eren çekirdek sürümlerini de etkiliyor.

Diğer kritik notlar

• CVE-2026-109803 (9.9), not 3809153: SAP NetWeaver Knowledge Management’ın XML Forms bileşeninde kod enjeksiyonu. KMC-CM 7.50 etkileniyor.
• CVE-2026-76965 (9.9), not 3792735: SAP NetWeaver ve ABAP Platform’un ABAP uygulama sunucusunda işletim sistemi komut enjeksiyonu.
• CVE-2026-109795 (9.9), not 3834842: S4CRM’de eksik yetki kontrolü.
• CVE-2026-89119 (9.6), not 3804858: SAP Web Dispatcher ve ICM’de siteler arası istek sahteciliği (CSRF). Not ek olarak CVE-2026-120014’ü de kapsıyor.
• CVE-2026-109798 (9.1), not 3799117: SAP BusinessObjects Business Intelligence Platform’un Web Intelligence bileşeninde XML harici varlık (XXE) açığı.

Önerilen önlemler

Onapsis’e göre ICM2SHELL için tek tam çözüm 3778530 ve 3778556 numaralı notların uygulanması. Onapsis önce etkilenen sistemlerin çekirdek sürümü ve yama düzeyine göre listelenmesini, bu listede bağımsız Web Dispatcher’ların, SAP HANA XS’e gömülü Web Dispatcher’ın, üretim verisinin kopyasını tutan test sistemlerinin ve bakımı sona eren çekirdeklerin unutulmamasını öneriyor. Ardından internete açık Web Dispatcher’lar ve ICM’ler yamalanmalı, hemen yamalanamayan sistemlerde geçici önlemler uygulanmalı ve iç sistemlerde üretim sistemlerinden başlanmalı. ProxyGate için Gateway’lerdeki prxyinfo dosyasının ve gw/acl_mode_proxy ayarının kontrol edilmesi, yamanın bu ayarla birlikte uygulanması gerekiyor. SAP’nin özel bulutunda (örneğin RISE with SAP kapsamında) sistemi olan müşteriler için Onapsis 3849055 numaralı notu da gösteriyor.