Исследователи Onapsis сообщили о рабочем способе захватить систему SAP без пароля и действий пользователя. Уязвимость ICM2SHELL находится в обработке WebSocket и затрагивает как серверный компонент ICM, так и Web Dispatcher — внешний посредник между интернетом и внутренними приложениями. SAP выпустила исправления 10 ноября.

WebSocket позволяет браузеру и серверу обмениваться сообщениями через постоянное соединение. Большие сообщения могут приходить частями. По разбору Onapsis, ошибка возникает при сборке этих частей: данные записываются за пределы выделенной памяти. Исследователи передали SAP работающий эксплойт, выполняющий команды с правами владельца установки SAP. Такой доступ позволяет добраться до секретов подключения к базе, изменить бизнес-данные или остановить систему.

Для атаки нужен сетевой доступ к HTTP/HTTPS-порту. Поддержка WebSocket включена по умолчанию, даже если приложения её не используют. Web Dispatcher самостоятельно собирает сообщения тем же уязвимым кодом: повреждается его собственная память. Поэтому наличие этого посредника перед внутренним сервером само по себе не закрывает проблему.

В бюллетене SAP исправления для NetWeaver AS ABAP и Web Dispatcher оформлены отдельно: CVE-2026-76964 и CVE-2026-89126. Проверять обновления нужно для обоих компонентов.

Это подтверждённый исследовательский результат, но пока не сообщение о взломанных компаниях. На момент раскрытия 10 ноября Onapsis не наблюдала реального применения ICM2SHELL злоумышленниками.