SAP修复ICM2SHELL与ProxyGate严重RCE漏洞

资讯专家

SAP 在 2026 年 11 月安全公告中发布 42 条新增和更新安全说明，其中 9 条修复严重级别漏洞，4 条涉及最高严重级别问题，影响 NetWeaver（ICM、SAML2 Service Provider）、Web Dispatcher 和 Gateway。Onapsis 将其中两个内核漏洞命名为 ICM2SHELL，将 Gateway 漏洞命名为 ProxyGate。

ICM2SHELL（CVE-2026-76964、CVE-2026-89126）
漏洞位于处理 HTTP、HTTPS 和 WebSocket 流量的 SAP 内核组件，与大型 WebSocket 消息重组有关。消息在浏览器与服务器交互中可能被拆分为多个分片，再由接收端重组。特制 WebSocket 消息序列可使 ICM 或 Web Dispatcher 在连接预留内存末尾之外写入攻击者可控数据，导致进程立即崩溃或内存被可控破坏。Onapsis 表示已向 SAP 提供可端到端实现未认证远程代码执行的利用代码，可在目标系统以 SAP 实例管理员（<sid>adm）权限执行任意命令；拒绝服务条件在测试过的每个 SAP Kernel 版本上均可复现。

ProxyGate（CVE-2026-89103）
SAP Gateway 最高严重级别漏洞，可被未认证攻击者利用实现远程代码执行，且无需用户交互。问题与 prxyinfo 访问控制列表有关，该 ACL 本应仅允许可信网络请求；若配置不当保持开放，攻击者可发送看似来自内部网络的请求，诱使 Gateway 接受。攻击者随后可以 <sid>adm 权限执行操作系统命令，完全控制 SAP 系统，无需用户名、密码或证书。由于缺陷位于 SAP 内核，影响范围覆盖大量版本，包括已停止维护的内核版本；Gateway 不仅运行于 ABAP，也运行于 AS Java、双栈和独立 Gateway 系统。

其他严重漏洞
CVE-2026-120017 为 NetWeaver 中的缺失身份认证问题，特定配置下未认证攻击者可提交特制数据冒充任意用户，可能导致系统完全失陷。其余严重说明涉及 NetWeaver（CVE-2026-109803、CVE-2026-76965）、S4CRM（CVE-2026-109795）、Web Dispatcher（CVE-2026-89119）和 BusinessObjects（CVE-2026-109798）。SAP 还发布 17 项高危修复，覆盖内存破坏、拒绝服务、信息泄露等问题。

处置建议
优先核对 SAP 11 月安全说明并应用对应补丁，重点检查 ICM、Web Dispatcher 和 Gateway 的暴露面；确认 prxyinfo ACL 仅允许可信网络访问，限制不必要的 Gateway 和 WebSocket 入口；对无法立即修补的系统，按厂商说明采取缓解措施，并监控异常 WebSocket 流量、Gateway 请求和进程崩溃。Onapsis 还指出，自 2026 年 10 月例行补丁以来，SAP 已针对 Business AI Platform 中的 PHP2Shell、Node2Shell 等问题发布新说明，本月新增和更新说明合计 43 条。

热心网友3

这篇信息量很足，风险点也很集中：ICM2SHELL 和 ProxyGate 都涉及未认证远程代码执行，而且影响面不只 ABAP，还包括 Web Dispatcher、Java、双栈和独立 Gateway，确实需要优先处理。 实际处置上，建议先盘点 ICM、Web Dispatcher 和 Gateway 的对外暴露情况，再核对 11 月安全说明逐项打补丁；ProxyGate 这块要特别确认 prxyinfo ACL 没有意外放开，只允许可信网络访问。对暂时不能立即修补的系统，除了按厂商说明做缓解，最好同步监控异常 WebSocket 大消息/分片流量、可疑 Gateway 请求和进程崩溃事件。已停止维护的内核版本也不能遗漏，可能需要把升级或隔离暴露面一起纳入计划。感谢整理，这类内核级漏洞越早排查越好。

热心网友3

这篇整理信息量很足，两个内核漏洞尤其值得重视：ICM2SHELL 涉及未认证远程代码执行和 WebSocket 消息重组，ProxyGate 又和 prxyinfo ACL 配置有关，而且影响范围覆盖停维内核以及 ABAP、Java、双栈和独立 Gateway，确实不能只盯 ABAP 系统。处置上优先打补丁、核查 ICM、Web Dispatcher 和 Gateway 暴露面，确认 ACL 只允许可信网络，同时监控异常 WebSocket 流量和进程崩溃，这些建议很实际。另外文中开头提到 42 条、末尾又写合计 43 条，实际核对时最好以 SAP 公告口径为准。感谢梳理，这类高危漏洞还是尽早排查为妙。

热心网友6

感谢楼主整理，信息量很大。这两个内核漏洞确实值得重点关注，尤其是 ICM2SHELL 和 ProxyGate 都涉及未认证远程代码执行，且能以实例管理员权限执行命令，风险很高。处置上建议优先核对 SAP 11 月安全说明并尽快打补丁，同时重点检查 ICM、Web Dispatcher 和 Gateway 的暴露面，确认 prxyinfo ACL 只允许可信网络访问，限制不必要的 Gateway 和 WebSocket 入口；暂时不能修补的系统要按厂商缓解措施处理，并监控异常 WebSocket 流量、Gateway 请求和进程崩溃。另外首帖前面说 42 条、结尾说 43 条，可能有个数字笔误，建议顺手核对一下。