SAP-Lücken: Ohne Passwort zur Kontrolle über das System

SAP hat am 10. November 2026 insgesamt 35 neue Sicherheitshinweise, vier Sicherheitsempfehlungen auf GitHub und drei Aktualisierungen älterer Hinweise veröffentlicht. Nach Angaben von Onapsis fallen zwölf Hinweise in die höchste Dringlichkeitsstufe „HotNews“, weitere 13 haben hohe Priorität. Onapsis hat selbst 36 der behobenen Schwachstellen gemeldet, die SAP in 24 Sicherheitshinweisen behandelt. 14 dieser Schwachstellen entdeckte das Unternehmen gemeinsam mit XBOW.

Besondere Dringlichkeit haben zwei Angriffskomplexe, hinter denen drei Schwachstellen stehen:

• ICM2SHELL: CVE-2026-76964 und CVE-2026-89126 betreffen den SAP Internet Communication Manager (ICM) und den SAP Web Dispatcher.
• PROXYGATE: CVE-2026-89103 betrifft das SAP Gateway und dessen Zugriffskontrolle.

Alle drei erreichen im Common Vulnerability Scoring System (CVSS) den Höchstwert 10,0. Unter den jeweiligen Voraussetzungen können Angreifer ohne Anmeldung Betriebssystembefehle ausführen. Ein Passwortdiebstahl oder eine Benutzerinteraktion sind dafür nicht erforderlich.

ICM2SHELL: Wenn Webnachrichten den Speicher überschreiben

Der Internet Communication Manager (ICM) nimmt Webanfragen an ein SAP-System entgegen. Ein vorgeschalteter SAP Web Dispatcher leitet sie an die zuständigen Server weiter. Beide Komponenten enthalten denselben Fehler bei der Verarbeitung von WebSocket-Verbindungen. Diese ermöglichen beispielsweise einem Browser und einem SAP-Server, über eine dauerhaft offene Verbindung Nachrichten in beide Richtungen auszutauschen.

WebSocket-Nachrichten können in mehreren Teilen eintreffen, die der Empfänger wieder zusammensetzen muss. Genau dabei entsteht der Fehler: Mit gezielt manipulierten Nachrichten können Angreifer Daten außerhalb des dafür reservierten Speicherbereichs ablegen. Dadurch stürzt der betroffene Prozess ab oder führt im schlimmsten Fall Befehle des Angreifers aus. Auch der Web Dispatcher ist unmittelbar verwundbar, weil er die Nachrichten selbst zusammensetzt.

Onapsis hat SAP nach eigenen Angaben praktisch demonstriert, wie sich auf diesem Weg ohne Anmeldung beliebige Betriebssystembefehle ausführen lassen. Zum Absturz brachten die Analysten den betroffenen Prozess auf allen getesteten Kernel-Versionen. Wiederholen Angreifer solche Abstürze, bleiben die zugehörigen Webdienste unerreichbar. Bei einem zentralen Web Dispatcher kann das den Webzugriff auf sämtliche dahinterliegenden SAP-Systeme lahmlegen.

Die eingeschleusten Befehle erhalten die Rechte des SAP-Verwaltungskontos adm. Der Platzhalter bezeichnet das jeweilige SAP-System. Dieses Konto darf zentrale Dateien und Einstellungen der SAP-Installation verwalten. Angreifer könnten damit das SAP-System weitgehend kontrollieren, Daten auslesen oder verändern und den Betrieb unterbrechen. Uneingeschränkte Administratorrechte für das gesamte Betriebssystem erhalten sie dadurch allerdings nicht automatisch.

Ob der Angriff ohne Anmeldung gelingt, hängt von der Kernel-Version und den erreichbaren Diensten ab. Einige Dienste nehmen WebSocket-Verbindungen bereits ohne Zugangsdaten an. Sind solche verwundbaren Dienste öffentlich erreichbar, können Angreifer direkt aus dem Internet ansetzen. Nach Einschätzung von Onapsis könnten Tausende SAP-Systeme mit ICM-basierten Webschnittstellen aus dem Internet erreichbar sein.

PROXYGATE: Ein externer Angreifer wird zum internen Server

Das SAP Gateway vermittelt Remote Function Calls (RFC), also Funktionsaufrufe zwischen Systemen. Es kann außerdem externe Programme registrieren und Hilfsprogramme auf dem SAP-Host starten. Deshalb regeln Zugriffskontrolllisten (Access Control Lists, ACL), welche Verbindungen und Aktionen erlaubt sind:

• secinfo bestimmt, wer welche Programme auf welchen Hosts starten darf.
• reginfo regelt, welche externen Programme sich am Gateway registrieren dürfen.
• prxyinfo legt fest, welche Verbindungen das Gateway stellvertretend für einen Client öffnen oder weiterleiten darf.

PROXYGATE ermöglicht es Angreifern, sich gegenüber dem SAP Gateway als interner Server auszugeben. Dazu senden sie eine gezielt manipulierte Folge von Anfragen. Lässt die Proxy-Konfiguration diesen Angriff zu, hält das Gateway die externe Verbindung fälschlich für vertrauenswürdig. Es erlaubt dem Angreifer dann, Programme zu starten, die eigentlich nur interne Server ausführen dürfen.

Auch streng konfigurierte secinfo- und reginfo-Dateien stoppen diesen Angriff nicht: Ihre Regeln greifen auf Grundlage der falsch erkannten Herkunft. Maßgeblich ist deshalb die Datei prxyinfo. Sie legt fest, für welche Gegenstellen das Gateway Verbindungen weiterleiten darf. Beschränkt sie diese Funktion auf vertrauenswürdige Systeme, blockiert sie den Angriffsweg aus anderen Netzen. Fehlt die Datei, bestimmt die Einstellung gw/acl_mode_proxy, welche Verbindungen standardmäßig erlaubt sind.

Bei erfolgreicher Ausnutzung kann der Angreifer Betriebssystembefehle mit den Rechten des SAP-Verwaltungskontos adm ausführen. Damit könnte er Geschäftsdaten auslesen oder verändern und den SAP-Betrieb lahmlegen. Laut Onapsis kann er außerdem weitere Anwendungsserver desselben SAP-Systems angreifen.

Warum der Patch allein häufig nicht genügt

Für ICM2SHELL sind die SAP Security Notes 3778530 und 3778556 maßgeblich; ergänzende Hinweise stehen in 3778788. Auch der in SAP HANA XS eingebettete Web Dispatcher muss berücksichtigt werden.

Als zeitweilige Maßnahme lässt sich WebSocket-Unterstützung mit icm/HTTP/support_websocket_upgrade=FALSE und anschließendem Neustart deaktivieren. Das kann jedoch interaktive Anwendungen und Integrationen beeinträchtigen. Bei Kernel 7.93 ist zudem die genaue Patch-Linie relevant: Patch Level 419 bleibt beispielsweise betroffen. Nur eine höhere Versionsnummer belegt daher keine Behebung.

Die Maßnahmen gegen PROXYGATE beschreibt SAP im Sicherheitshinweis 3798345 und in den ergänzenden Erläuterungen 3810197. Bei den meisten betroffenen Kernel-Versionen reicht das Update allein nicht aus: Administratoren müssen zusätzlich gw/acl_mode_proxy = 1 setzen. Diese Einstellung beschränkt die erlaubten Proxy-Verbindungen, wenn keine Regeldatei prxyinfo vorhanden ist. Existiert die Datei, gelten deren Regeln. Zu weit gefasste Zugriffsrechte müssen deshalb direkt darin eingeschränkt werden.

Welche Schritte erforderlich sind, hängt von der Kernel-Version ab. 7.93 und 9.16 unterstützen die Einstellung bereits. Ältere betroffene Versionen benötigen zunächst ein Kernel-Update, das den Parameter verfügbar macht. Für 9.20 und 9.21 ist laut Onapsis nach dem Patch keine zusätzliche manuelle Einstellung vorgeschrieben. Administratoren sollten daher für jede SAP-Instanz prüfen, welche Kombination aus Update und Konfigurationsänderung erforderlich ist.

Erreichbarkeit und Konfiguration bestimmen die Priorität

Zuerst sollten öffentlich erreichbare ICM- und Web-Dispatcher-Instanzen sowie aus nicht vertrauenswürdigen Netzen zugängliche Gateways abgesichert werden. Die Bestandsaufnahme muss auch eigenständige Gateways, Testsysteme mit produktiven Daten und ältere Installationen erfassen. Bei mehreren Anwendungsservern reicht es nicht, nur die zentrale Instanz zu aktualisieren.

Für PROXYGATE ist zusätzlich zu prüfen, welche Quellen und Ziele die Proxy-Regeln zulassen. Änderungen sollten gegen benötigte Verbindungen getestet werden. Netzwerkbeschränkungen verkleinern die Angriffsfläche, ersetzen aber weder die erforderlichen Updates noch die sichere Gateway-Konfiguration.

Bis zum 10. November 2026 hatte Onapsis nach eigenen Angaben keine Angriffe über diese Schwachstellen beobachtet. Das schließt eine Ausnutzung jedoch nicht aus. Da Angreifer verwundbare Systeme ohne Anmeldung übernehmen können, sollten Unternehmen ihre SAP-Installationen umgehend prüfen und absichern.