SAP vừa có một Patch Day đáng nhớ: ngày 10/11, hãng vá 4 lỗi đạt điểm tối đa CVSS 10.0 — và cả 4 đều khai thác được không cần đăng nhập, không cần người dùng bấm gì. Đây là đợt vá SAP nặng nhất trong nhiều năm.

4 lỗi là gì

Cả 4 đều nằm trong SAP NetWeaver AS ABAP, thuộc 35 security note mới của đợt này (12 note HotNews):

  • ICM2SHELL — CVE-2026-76964 (Internet Communication Manager, Note 3778530) và CVE-2026-89126 (Web Dispatcher, Note 3778556): lỗi memory corruption trong đoạn code kernel mà ICM và Web Dispatcher dùng chung để ghép lại các WebSocket message bị chia nhỏ. Kẻ tấn công từ xa chạy được lệnh hệ điều hành trên server.
  • PROXYGATE — CVE-2026-89103 (SAP Gateway, Note 3798345): lỗi broken access control — gateway có thể rơi về danh sách truy cập mặc định với quyền cao, khiến kẻ tấn công từ bên ngoài được đối xử như một application server nội bộ, rồi thực hiện các hành động trái phép.
  • CVE-2026-120017 (SAML2 Service Provider, Note 3849308): thiếu kiểm tra xác thực — kẻ tấn công có thể đăng nhập với tư cách bất kỳ người dùng nào, kể cả tài khoản đặc quyền, trên các hệ thống dùng SAML SSO. Lỗi này không có workaround ngoài việc vá.

Tình hình khai thác — và điểm cần lưu ý

  • Tới 12/11, chưa xác nhận có khai thác thật ngoài đời; cả 4 lỗi đều chưa vào CISA KEV.
  • Nhưng cửa sổ an toàn này khó kéo dài: Onapsis (nhóm tìm ra 3 trong 4 lỗi) đã xây xong exploit hoàn chỉnh cho ICM2SHELL và giao cho SAP theo coordinated disclosure; PoC cho CVE-2026-120017 đã xuất hiện công khai (theo một nguồn duy nhất là sploitus).
  • Riêng PROXYGATE có một cái bẫy: Onapsis nói rõ "kiểm tra phiên bản hay vá thôi chưa đủ để biết mình an toàn" — trên hầu hết kernel, bản vá gồm kernel patch cộng thêm một profile parameter mà mặc định là tắt. Vá xong mà không bật parameter đó thì vẫn lộ. Mức độ lộ còn tùy vào proxy list prxyinfo của gateway.
  • Các kernel đã hết hỗ trợ (out-of-maintenance) cũng bị ảnh hưởng — không có đường vá chính thức.

Cần làm gì (nếu bạn vận hành SAP):

  1. Áp dụng ngay 4 note: 3778530 (ICM), 3778556 (Web Dispatcher), 3798345 (Gateway), 3849308 (SAML2).
  2. Với PROXYGATE: kiểm tra và bật profile parameter đi kèm bản vá — đừng chỉ vá rồi tin là xong.
  3. Rà lại các hệ thống NetWeaver lộ ra internet — đây là nhóm mục tiêu đầu tiên khi exploit xuất hiện.

Nguồn: