SAP merilis pembaruan keamanan November 2026 untuk menangani 35 kerentanan, termasuk empat celah dengan skor CVSS maksimum 10,0. Perbaikan mencakup komponen SAP NetWeaver, Web Dispatcher, dan Gateway. Tiga celah yang ditemukan Onapsis dikelompokkan dengan nama ICM2SHELL dan PROXYGATE karena dapat memungkinkan eksekusi kode dari jarak jauh sebelum autentikasi.
ICM2SHELL berdampak pada ICM dan Web Dispatcher
ICM2SHELL mencakup CVE-2026-76964 pada Internet Communication Manager (ICM) di NetWeaver Application Server ABAP dan CVE-2026-89126 pada Web Dispatcher. Keduanya berkaitan dengan kerusakan memori dalam pemrosesan lalu lintas WebSocket. ICM menerima permintaan web untuk sistem SAP, sementara Web Dispatcher berfungsi sebagai reverse proxy dan penyeimbang beban.
Menurut Onapsis, penyerang yang dapat menjangkau port HTTP atau HTTPS komponen rentan berpotensi menjalankan perintah dengan hak akun pemilik instalasi SAP. Dukungan WebSocket aktif secara bawaan. Dampaknya dapat mencakup pengambilalihan sistem atau penghentian layanan. Onapsis menyatakan belum mengamati eksploitasi aktif ICM2SHELL saat laporannya diterbitkan pada 10 November.
PROXYGATE dan kelemahan autentikasi SAML2
CVE-2026-89103, yang dinamai PROXYGATE, merupakan kelemahan kontrol akses pada SAP Gateway. Komponen ini menghubungkan aplikasi dengan sistem backend SAP. Menurut Onapsis, celah tersebut dapat memungkinkan pihak luar menyamar sebagai server aplikasi internal dan memperoleh eksekusi kode tanpa kredensial SAP maupun interaksi pengguna.
Celah keempat, CVE-2026-120017, berkaitan dengan autentikasi yang tidak diterapkan pada komponen SAML2 Service Provider di NetWeaver Application Server ABAP. SAP menilai keempat kerentanan tersebut berpotensi memungkinkan pengambilalihan sistem dari jarak jauh oleh penyerang yang belum terautentikasi.
Administrator perlu memeriksa kernel dan Web Dispatcher
Onapsis meminta tim SAP Basis memprioritaskan patch pada ICM dan Web Dispatcher yang dapat diakses dari internet. Untuk ICM2SHELL, catatan perbaikannya adalah SAP Security Note 3778530 dan 3778556. Web Dispatcher perlu diperiksa sebagai komponen tersendiri, termasuk yang tertanam pada SAP HANA XS.
Paparan ICM2SHELL bergantung pada rilis dan tingkat patch kernel. Administrator perlu mencocokkan instalasi dengan catatan SAP dan FAQ 3778788. Sistem yang memakai kernel di luar masa dukungan mungkin memerlukan peningkatan ke kernel yang masih didukung. Onapsis juga mengingatkan bahwa konfigurasi sementara perlu dinilai dampaknya terhadap fitur dan integrasi sebelum diterapkan.
Sumber: Onapsis – ICM2SHELL: A Critical Pre-Authentication Vulnerability in SAP NetWeaver’s ICM and Web Dispatcher
