Gli hacker possono sfruttare i difetti di SAP PROXYGATE e ICM2SHELL per l’unauthorized…

SAP ha rilasciato correzioni per PROXYGATE e ICM2SHELL, falle di sicurezza critiche che potrebbero consentire agli aggressori di assumere il controllo dei sistemi SAP senza accedere. Divulgate durante il Security Patch Day del 10 novembre 2026, le vulnerabilità portano punteggi CVSS massimi di 10,0 e influenzano i componenti principali utilizzati nelle applicazioni aziendali. Onapsis Research Labs ha scoperto e segnalato entrambi i problemi

. I difetti consentono agli aggressori con accesso alla rete di eseguire comandi del sistema operativo con l’account adm, proprietario dell’installazione SAP. Questo dà loro il controllo sull’ambiente SAP interessato, anche se non significa automaticamente l’accesso root al server sottostante. I dati aziendali, le credenziali archiviate, le impostazioni delle applicazioni e la disponibilità del sistema potrebbero essere tutti a rischio

PROXYGATE si rivolge a SAP Gateway Trust PROXYGATE, monitorato come CVE-2026-89103, influisce su SAP Gateway, un componente che gestisce la comunicazione tra sistemi SAP e programmi esterni. A differenza dei problemi causati da regole di gateway deboli, questa vulnerabilità del kernel può rimanere sfruttabile anche quando gli amministratori hanno protetto gli elenchi di access control secinfo e reginfo comunemente controllati.

La debolezza sta nel modo in cui il gateway decide se una richiesta proviene da un server interno affidabile

Quando la sua politica proxy consente la connessione, le richieste elaborate possono far apparire un utente malintenzionato esterno come interno. Il gateway accetta quindi le richieste che le sue regole esistenti consentono per i sistemi attendibili, avviando potenzialmente i comandi scelti dall’attaccante. L’esposizione dipende dall’elenco di accesso proxy prxyinfo meno comunemente esaminato e dalle relative impostazioni.

Una politica restrittiva blocca lo sfruttamento da reti non attendibili, mentre regole permissive o mancanti possono lasciare esposti i sistemi

Il gateway interessato viene eseguito su distribuzioni ABAP, AS Java, dual-stack e standalone, ampliando l’ambito oltre un singolo tipo di applicazione. ICM2SHELL influisce sulla gestione del traffico web Secondo l’advisory Onapsis ICM2SHELL, il secondo difetto riguarda il danneggiamento della memoria nel codice del kernel SAP condiviso che elabora il traffico WebSocket.

CVE-2026-76964 influisce su Internet Communication Manager, mentre CVE-2026-89126 influisce su SAP Web Dispatcher, incluso il suo componente SAP HANA XS

La copertura delle patch SAP di novembre di Cybersecurity News identifica anche il problema critico di ICM. Gli aggressori che possono raggiungere una porta HTTP o HTTPS interessata potrebbero danneggiare la memoria del processo, eseguire comandi o arrestare il servizio. Il supporto WebSocket è abilitato per impostazione predefinita, anche quando le organizzazioni non lo utilizzano attivamente.

Alcuni servizi SAP S/4HANA accettano connessioni WebSocket senza autenticazione, eliminando la necessità di credenziali rubate o interazione dell’utente

. Onapsis non ha segnalato alcuno sfruttamento osservato di entrambe le vulnerabilità alla pubblicazione. Ciò non stabilisce che tutti gli ambienti siano sicuri. In precedenza, gli attacchi SAP non correlati mostrano il potenziale impatto sul business, incluso il compromesso NetWeaver utilizzato per distribuire malware Auto-Color. Tali incidenti sono separati da PROXYGATE e ICM2SHELL. L’advisory tecnico PROXYGATE avverte che l’applicazione di patch da sola potrebbe non risolvere l’esposizione

La maggior parte delle versioni del kernel interessate richiede l’aggiornamento pertinente più gw/acl_mode_proxy = 1. Gli amministratori devono inoltre limitare le regole permissive di prxyinfo. I kernel non supportati necessitano di un aggiornamento a una versione mantenuta e compatibile e le modifiche devono riguardare ogni server delle applicazioni. SAP indirizza ICM2SHELL attraverso le note di sicurezza 3778530 e 3778556.

I team dovrebbero dare la priorità ai servizi Web Dispatcher e ICM esposti, quindi verificare le correzioni in tutto il loro patrimonio SAP

. L’accesso al gateway dovrebbe essere limitato agli host che ne hanno bisogno. Le restrizioni di rete riducono l’esposizione, ma non sostituiscono l’applicazione completa di patch e le modifiche di configurazione richieste. Fornisci al tuo SOC il contesto di allerta per fermare rapidamente gli incidenti. Integra Threat Intel da 16.000 SOC.