SAP-Patchday November 2026: ICM2SHELL und PROXYGATE mit CVSS 10.0

SAP hat am 10. November 2026 seinen monatlichen Patchday veröffentlicht: 35 neue Sicherheitshinweise, 4 GitHub-Advisories und 3 aktualisierte Hinweise. Vier Lücken bewertet SAP mit dem Höchstwert CVSS 10.0. Drei davon hat Onapsis gefunden und unter den Namen ICM2SHELL und PROXYGATE beschrieben. Betroffen ist der SAP-Kernel, also den Internet Communication Manager (ICM), den Web Dispatcher und das SAP Gateway.

Betroffen sind praktisch alle ABAP-Systeme ab Kernel 7.40, alle Web Dispatcher und die Gateways, PROXYGATE trifft auch AS-Java- und Standalone-Gateways. Aktive Angriffe sind laut Onapsis bisher nicht beobachtet, funktionierende Exploits wurden aber an SAP übergeben. Admins sollten die Kernel-Patches nicht bis zum nächsten regulären Wartungsfenster schieben, sondern zeitnah einplanen.

Was ist passiert?

ICM2SHELL umfasst zwei Hinweise: 3778530 (CVE-2026-76964) für den ICM von SAP NetWeaver AS ABAP und 3778556 (CVE-2026-89126) für den SAP Web Dispatcher, auch in der in SAP HANA XS eingebetteten Variante. SAP beschreibt beide als Speicherfehler. Laut Onapsis liegt der Fehler beim Zusammensetzen fragmentierter WebSocket-Nachrichten. WebSocket ist laut Onapsis standardmäßig aktiv, auch wenn es nicht genutzt wird.

PROXYGATE ist Hinweis 3798345 (CVE-2026-89103). SAP bezeichnet die Lücke als fehlerhafte Zugriffskontrolle im SAP Gateway. Onapsis zufolge kann ein Angreifer dem Gateway vortäuschen, seine Anfrage komme von einem internen Applikationsserver.

Die vierte Lücke mit CVSS 10.0 ist Hinweis 3849308 (CVE-2026-120017): fehlende Authentifizierung im SAML2-Service-Provider von SAP NetWeaver AS ABAP, betroffen sind laut SAP-Liste die SAP_BASIS-Releases von 702 bis 922. Laut Onapsis können Angreifer damit unter bestimmten Konfigurationen ohne Anmeldung beliebige Benutzer übernehmen, auch privilegierte. Fünf weitere Hinweise stuft SAP als kritisch ein, darunter eine Code-Injection in NetWeaver Knowledge Management und eine Befehlsinjektion im ABAP Application Server, beide mit CVSS 9.9.

Wer ist betroffen?

ICM2SHELL betrifft laut Onapsis jedes AS-ABAP-System ab Kernel 7.40 und jeden Web Dispatcher. AS Java ist nicht betroffen, Dual-Stack-Systeme schon. Kernel 7.22 ist nicht betroffen. Bei Kernel 7.93 ist Vorsicht nötig: Laut Onapsis ist Patchlevel 419 noch verwundbar, den Fix enthalten erst der aktualisierte Stack-Kernel 401, PL 402 und PL 420 oder höher.

PROXYGATE betrifft das Gateway auf ABAP-, Java-, Dual-Stack- und Standalone-Systemen. Ob ein System angreifbar ist, hängt laut Onapsis von der Datei prxyinfo und dem Profilparameter gw/acl_mode_proxy ab. Der Parameter steht ab Werk auf 0, das bedeutet: alles erlaubt.

Nicht mehr gewartete Kernel wie 7.40, 7.49, 7.73 oder 7.89, bei PROXYGATE auch 7.20 und 7.21, sind laut Onapsis ebenfalls betroffen. Solche Systeme müssen auf einen abwärtskompatiblen Kernel gehoben werden, der noch gewartet wird.

Wie kritisch ist das?

Beide Onapsis-Funde lassen sich laut Advisory ohne Anmeldung und ohne Nutzerinteraktion über das Netz ausnutzen. Bei ICM2SHELL reicht Zugriff auf den HTTP- oder HTTPS-Port, das Ergebnis sind Betriebssystembefehle als Benutzer <sid>adm oder ein Absturz des Dienstes. Bei PROXYGATE reicht Zugriff auf die Gateway-Ports. Onapsis schreibt, man habe bisher keine Ausnutzung in freier Wildbahn beobachtet. Technische Details hält das Unternehmen bewusst zurück.

Was sollten Admins jetzt tun?

• Inventar: Kernel-Version und Patchlevel aller ABAP-Systeme, Web Dispatcher, HANA-XS-Instanzen und Standalone-Gateways erfassen.
• ICM2SHELL: Kernel und alle Web Dispatcher laut Hinweisen 3778530 und 3778556 aktualisieren, bei 7.93 auf den genauen Patchlevel achten.
• PROXYGATE: Laut Onapsis besteht der Fix bei den meisten Kernel-Releases aus dem Kernel-Patch nach Hinweis 3798345 plus gw/acl_mode_proxy = 1. Bei 7.93 und 9.16 genügt der Parameter, bei 9.20 und 9.21 der Patch. Bis dahin verringert eine restriktive prxyinfo das Risiko.
• Gateway-Ports 33NN und 48NN auf die Systeme beschränken, die RFC wirklich brauchen.
• Übergangslösung für ICM2SHELL laut Onapsis unter Berufung auf die FAQ-Note 3778788: icm/HTTP/support_websocket_upgrade=FALSE setzen. Das schaltet WebSocket ab und bricht davon abhängige Funktionen.
• SAML2: Hinweis 3849308 auf allen ABAP-Systemen mit SAML-Anmeldung einspielen.
• Monitoring: unerwartete Neustarts in dev_icm und dev_webdisp untersuchen.

Einordnung für Unternehmen

Ein SAP-Kernel-Update ist kein schneller Klick, es braucht Tests und Neustarts. Gerade deshalb sollte die Planung jetzt beginnen. Am dringendsten sind Systeme, deren HTTP-Ports oder Gateway aus dem Internet oder aus wenig vertrauenswürdigen Netzen erreichbar sind. Bei PROXYGATE zeigt der Fall, dass ein Versionsstand allein keine Sicherheit garantiert: Ohne die passende Konfiguration bleibt das Gateway offen.

Passende Anleitungen auf S-EDV

• SAP schließt kritische Sicherheitslücke CVE-2026-44756 mit CVSS 10.0
• SAP Patchday Juni 2026: Vier kritische Lücken in NetWeaver und Commerce Cloud

Quellen

• SAP: Security Patch Day November 2026
• Onapsis: Advisory zu ICM2SHELL
• Onapsis: Advisory zu PROXYGATE
• Onapsis: Analyse des November-Patchdays
• BleepingComputer: Bericht zum SAP-Patchday
• SecurityWeek: Bericht zu ICM2SHELL und PROXYGATE