SAP heeft recent SAP patches uitgebracht met maar liefst 42 nieuwe of bijgewerkte beveiligingsnotities. Daaronder vallen negen kritieke kwetsbaarheden die volgens onderzoekers impact kunnen hebben op toegang, stabiliteit én mogelijk volledige systeemcontrole.
Voor beheerders van SAP-landschappen is dit geen “even inplannen”-moment: meerdere problemen kunnen worden misbruikt door aanvallers zonder authenticatie en kunnen uitmonden in remote code execution (RCE). Hieronder zetten we de belangrijkste punten op een rij, zodat je direct weet waar je naar moet kijken.
Welke SAP patches zijn het meest urgent?
Binnen de nieuwe notities staan vier berichten voor maximale ernst in de componenten NetWeaver (ICM en SAML2 Service Provider), Web Dispatcher en Gateway. Het gaat daarbij om kwesties die in de kern meerdere SAP-onderdelen raken.
Daarnaast zijn er nog maximaal-ernstige issues in de SAP Gateway (ProxyGate) en een missing-authenticatiebug in NetWeaver. Verder behandelt SAP ook meerdere andere kritieke en hoge kwetsbaarheden, verspreid over onder meer NetWeaver, S4CRM, Web Dispatcher en BusinessObjects.
ICM2SHELL: probleem met WebSocket-berichten in de kernel
Een van de meest in het oog springende kwetsbaarheden is gekoppeld aan CVE-2026-76964 en CVE-2026-89126. De experts duiden dit defect aan als ICM2SHELL, omdat het een fout betreft in de SAP kernel-component die HTTP-, HTTPS- en WebSocket-verkeer verwerkt.
Het kernprobleem zit in het herassembleren van grote WebSocket-berichten. Tijdens een uitwisseling tussen server en browser kunnen berichten worden opgedeeld in fragmenten. De ontvanger zet die vervolgens weer samen—en juist daar kan een aanvaller met een zorgvuldig geconstrueerde reeks berichten gegevens “past de gereserveerde geheugenruimte” schrijven.
Volgens de analyse kan de uitkomst afhangen van de vorm van de payload:
- Onmiddellijke crash van het betreffende proces (denial-of-service).
- Gecontroleerde geheugencorruptie, wat vervolgens kan leiden tot code-uitvoering.
Belangrijk is dat onderzoekers aangeven dat de impact niet slechts theoretisch is. Er is een werkende exploit gedeeld die leidt tot unauthenticated remote code execution end-to-end, met uitvoering van OS-commando’s onder een rol met <sid>adm-privileges. Ook de DoS-situatie zou zich volgens Onapsis herhaaldelijk voordoen op meerdere SAP Kernel releases die zijn getest.
ProxyGate (CVE-2026-89103): RCE via Gateway zonder interactie
Naast ICM2SHELL is er een maximale-ernst bug in de SAP Gateway, die wordt aangeduid als ProxyGate (CVE-2026-89103). Deze kwetsbaarheid kan worden misbruikt door aanvallers zonder authenticatie en zonder dat gebruikers handelingen hoeven uit te voeren.
Het probleem draait om de toegangsbescherming rond de proxyinfo access-control list. Die lijst hoort verzoeken te beperken tot vertrouwde netwerken. Als die beveiliging niet goed is afgesloten of open staat, kan een aanvaller een reeks requests sturen die eruitzien alsof ze intern afkomstig zijn.
Daardoor kan de gateway het verkeer accepteren en—naar verwachting van onderzoekers—OS-commando’s uitvoeren onder <sid>adm. Resultaat: volledige controle over het SAP-systeem, zonder dat een aanvaller een gebruikersnaam, wachtwoord of certificaat hoeft te overleggen.
Omdat het om een fout in de SAP kernel gaat, kan de impact breder zijn dan alleen recent ondersteunde versies. In de analyse wordt expliciet genoemd dat ook kernelversies kunnen worden geraakt die al buiten onderhoud vallen. Daarnaast wordt vermeld dat de gateway niet alleen op ABAP draait, maar ook op AS Java, dual-stack en standalone-gateway omgevingen.
NetWeaver missing authentication: mogelijk impersonatie en systeemcompromis
Verder pakte SAP een maximaal-ernstige missing-authenticatiebug in NetWeaver aan (CVE-2026-120017). In bepaalde configuraties zou een aanvaller zonder authenticatie speciaal geconstrueerde data kunnen indienen.
Volgens de broninformatie kan dat leiden tot impersonatie van willekeurige gebruikers. In een doordachte aanvalsketen kan dat uiteindelijk resulteren in volledige systeemcompromitteering. Dit maakt het extra belangrijk om niet alleen “patchen” te zien als technische actie, maar ook als onderdeel van je beveiligingsproces rondom configuratie en toegang.
Wat zit er nog meer in de bulletin-reeks?
Naast de hierboven beschreven maximale-ernst issues bevat het SAP-bulletin nog vijf extra kritieke notities. Deze hebben betrekking op kwetsbaarheden in NetWeaver (CVE-2026-109803 en CVE-2026-76965), S4CRM (CVE-2026-109795), Web Dispatcher (CVE-2026-89119) en BusinessObjects (CVE-2026-109798).
Ook publiceerde SAP nog 17 fixes met hoge ernst. Deze behandelen onder meer geheugencorruptie, denial-of-service en informatie disclosures.
Voor wie al bezig is met het bijhouden van recente advisories: sinds de geplande patches van oktober 2026 zijn er ook nieuwe notities uitgegeven rond de recent openbaar gemaakte PHP2Shell en Node2Shell kwetsbaarheden in de Business AI Platform. Dat betekent dat je niet alleen één bulletin moet volgen, maar de hele reeks SAP-notities in samenhang moet bekijken.
Praktische aanpak: zo maak je de impact beheersbaar
Als je SAP beheert, zijn er grofweg drie stappen die je nu wilt doorlopen.
1) Inventariseer welke componenten bij jou draaien
Omdat zowel ICM2SHELL als ProxyGate raken aan kernel- of gateway-gedrag, is het cruciaal om te weten welke onderdelen je omgeving gebruikt: NetWeaver (met ICM en SAML2 Service Provider), Web Dispatcher, Gateway en in welke varianten (ABAP, AS Java, dual-stack of standalone).
2) Check of je kwetsbaar bent door configuratie en versies
De broninformatie benadrukt dat de kernelbrede impact kan doorwerken naar releases buiten onderhoud en dat toegangsbepalingen rond proxyinfo een sleutelrol spelen. Laat je patchplanning dus aansluiten op zowel versie-inventarisatie als configuratiechecks.
3) Plan patching met prioriteit op RCE-risico
Omdat er sprake is van unauthenticated RCE (en in meerdere gevallen zelfs met bewezen exploitbaarheid volgens onderzoekers), verdient dit de hoogste urgentie. Onderzoek bovendien of er detectiemogelijkheden of tijdelijke mitigaties zijn voor je rollout, maar beschouw de updates als einddoel.
Wil je ook de bredere context rond beveiligingsupdates en timing bekijken? Lees dan zeker waarom patchvertraging in 2026 extra risico geeft. En als je gefocust bent op AI-agent security, sluit WhiteMatter haalt 20 miljoen op voor AI-agent security aan op het bredere veiligheidslandschap.
Conclusie
Met deze SAP patches heeft SAP een reeks kritieke beveiligingsproblemen gecorrigeerd, waaronder ICM2SHELL en ProxyGate. Beide scenario’s gaan uit van misbruik dat niet afhankelijk is van authenticatie en dat kan leiden tot remote code execution onder <sid>adm-privileges.
Pak dit daarom op als een prioriteit die je snel wilt afhandelen: inventariseer je SAP-componenten, controleer je configuraties en plan de updates met RCE-risico als leidraad. Zo verlaag je de kans dat een aanvaller jouw SAP-omgeving kan omzetten in een volledig compromis.
Bron: https://www.securityweek.com/sap-patches-critical-icm2shell-proxygate-vulnerabilities/
