SAP Tambal Empat Celah CVSS 10.0, Dua Bisa Dieksploitasi Jarak Jauh

SAP menambal empat kerentanan dengan skor CVSS 10.0 yang dapat dieksploitasi tanpa login. Tiga celah ada di server aplikasi NetWeaver dan satu di Web Dispatcher, dengan dua di antaranya memungkinkan eksekusi kode jarak jauh.

Kronologi Patch Day November 2026

Empat celah keamanan yang dapat dieksploitasi tanpa autentikasi resmi ditambal pada Security Patch Day SAP bulan November 2026. Vendor memberikan skor CVSS 10.0 untuk keempatnya—nilai maksimum dalam skala kerentanan.

Tiga kerentanan berada di server aplikasi SAP NetWeaver, perangkat lunak yang menjalankan sistem SAP. Satu lainnya di Web Dispatcher, komponen yang menerima permintaan web dari internet dan meneruskannya ke server tersebut.

Menurut buletin keamanan SAP, masing-masing celah diperbaiki dalam catatan (SAP Note) terpisah. Catatan tersebut tersedia di SAP for Me dan memerlukan login. SAP sangat merekomendasikan agar pelanggan menerapkan patch ini sebagai prioritas utama.

Kerentanan di Web Dispatcher dan Internet Communication Manager (ICM)—yang menangani lalu lintas web server—memungkinkan penyerang yang dapat menjangkau perangkat lunak melalui jaringan untuk menjalankan kode. Sementara itu, celah di layanan SAML 2.0 service provider dapat membuat penyerang masuk sebagai pengguna mana pun pada sistem yang menggunakan SAML single sign-on. Adapun celah di SAP Gateway memungkinkan penyerang menyamar sebagai salah satu server sistem dan melakukan tindakan tidak sah.

“Tidak satu pun dari keempatnya memerlukan tindakan pengguna untuk berfungsi,” demikian pernyataan SAP dalam buletin tersebut, seperti dikutip dari The Hacker News.

Pihak yang Terlibat dan Pernyataan Mereka

Onapsis, perusahaan keamanan SAP, menemukan tiga dari empat kerentanan: ICM, Web Dispatcher, dan Gateway. Perusahaan ini memberikan advisory terpisah untuk masing-masing celah.

Untuk celah ICM dan Web Dispatcher, Onapsis menyebutnya sebagai ICM2SHELL. “Kedua celah berasal dari satu bug dalam kode kernel yang digunakan bersama oleh ICM dan Web Dispatcher untuk menyatukan kembali pesan WebSocket yang terpisah,” kata Onapsis dalam advisory-nya.

Onapsis memberikan eksploit yang berfungsi kepada vendor. Eksploit tersebut menjalankan perintah sistem operasi sebagai adm, akun yang memiliki instalasi SAP.

Untuk celah Gateway, Onapsis menyebutnya PROXYGATE. “Eksposur tergantung pada daftar proxy gateway, prxyinfo, atau pada parameter profil di mana daftar tersebut tidak ada, bukan pada daftar secinfo dan reginfo yang menjadi fokus panduan hardening,” jelas Onapsis.

Sementara itu, RedRays, perusahaan yang meninjau catatan di SAP for Me pada hari yang sama, memberikan panduan mitigasi. “Perbarui kernel dan semua Web Dispatcher dalam satu rollout,” tulis RedRays dalam analisis Patch Day-nya.

Hingga berita ini diturunkan, belum ada laporan mengenai eksploitasi aktif terhadap keempat kerentanan tersebut. Onapsis dan RedRays sama-sama menyatakan belum melihat adanya serangan yang memanfaatkan celah ini.

Latar Belakang dan Konteks Kerentanan

SAP NetWeaver adalah fondasi bagi sebagian besar produk SAP, termasuk ERP dan solusi enterprise lainnya. Web Dispatcher bertindak sebagai gerbang lalu lintas web, sementara ICM menangani komunikasi HTTP/WebSocket di dalam server ABAP.

Kerentanan SAML2 (CVE-2026-120017) terletak pada service provider yang tidak memeriksa tanda tangan pada assertion yang masuk dalam konfigurasi tertentu. Ini memungkinkan penyerang masuk sebagai pengguna istimewa dan berpotensi mengompromikan sistem yang terhubung. Sebelumnya, celah SAML serupa (CVE-2026-44748) ditambal pada 9 Juni 2026, tetapi memerlukan akun pengguna biasa.

Kerentanan ICM (CVE-2026-76964) dan Web Dispatcher (CVE-2026-89126) berasal dari bug yang sama dalam penanganan pesan WebSocket. Lalu lintas jaringan yang dirancang khusus dapat merusak memori dan memungkinkan eksekusi kode. Dukungan WebSocket aktif secara default, sehingga sistem terekspos bahkan jika tidak ada yang menggunakannya. Sistem dual-stack juga terpengaruh melalui stack ABAP.

Kerentanan Gateway (CVE-2026-89103) muncul karena gateway mengaktifkan daftar akses default dengan hak istimewa tinggi. Penyerang eksternal dapat diperlakukan sebagai salah satu server aplikasi milik sistem. “Di mana pengaturan proxy memungkinkan, permintaan yang dirancang khusus membuat gateway memperlakukan penyerang luar sebagai salah satu server aplikasinya sendiri,” kata Onapsis.

Versi yang terpengaruh beragam. Untuk ICM, kernel KRNL64UC 7.53, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, dan 9.20. Untuk Web Dispatcher, termasuk HDB 2.00, WEBDISP 7.53 hingga 9.20, XS_ADVANCED_RUNTIME 1.00, dan SAP_EXTENDED_APP_SERVICES 1. Untuk Gateway, KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, 8.04, KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20, dan 9.21. Untuk SAML2, SAP_BASIS 702 hingga 922.

Kernel yang sudah tidak dalam masa pemeliharaan juga terpengaruh. Onapsis mencantumkan kernel 7.40, 7.41, 7.42, 7.45, 7.49, 7.73, 7.81, 7.85, dan 7.89 untuk ICM dan Web Dispatcher, serta kernel yang sama plus 7.20 dan 7.21 untuk Gateway. Kernel ini mungkin tidak mendapatkan perbaikan dan perlu ditingkatkan ke versi yang masih dipelihara.

Dampak Kerentanan bagi Perusahaan

Jika dieksploitasi, kerentanan ini dapat menyebabkan kompromi penuh pada sistem SAP. Untuk celah SAML2, penyerang dapat masuk sebagai pengguna istimewa dan mengakses sistem yang terhubung. Untuk ICM dan Web Dispatcher, eksekusi kode dapat terjadi tanpa autentikasi.

Yang lebih berbahaya, bug yang sama dapat membuat komponen Web Dispatcher crash. “Web Dispatcher yang crash memutus semua sistem SAP di belakangnya selama restart,” kata Onapsis. Ini berarti gangguan layanan yang signifikan.

Untuk celah Gateway, penyerang dapat menyamar sebagai server aplikasi dan menjalankan perintah sistem operasi sebagai adm. Dampaknya bisa sangat luas karena gateway menghubungkan server ke sistem dan program SAP lain.

RedRays menekankan bahwa patch kernel saja tidak cukup untuk celah Gateway. “Patch kernel saja, tanpa prxyinfo yang ketat atau gw/acl_mode_proxy disetel ke 1, tidak membuat sistem keluar dari cakupan,” tulisnya. Parameter gw/acl_mode_proxy dikirim dengan nilai 0, yang mengizinkan semua koneksi proxy.

Untuk SAML2, tidak ada workaround. “Perbaikan hanya melalui instruksi koreksi atau support package yang tercantum,” kata RedRays. Perusahaan juga menyarankan untuk meninjau setiap identity provider tepercaya di transaksi SAML2 dan memeriksa log audit untuk login SAML oleh pengguna istimewa dari sumber tak terduga.

Untuk ICM, WebSocket control frame dengan field panjang tidak valid menyebabkan heap out-of-bounds write sebelum login. SAP NetWeaver AS Java tidak terpengaruh. Jika pengguna hanya mengakses ICM melalui Web Dispatcher, menambal Web Dispatcher ke level pada FAQ note 3778788 dapat melindungi ICM untuk sementara, asalkan tidak ada yang dapat menjangkau port ICM secara langsung.

Untuk Web Dispatcher, patch tersedia melalui SAPWEBDISP.SAR untuk instance standalone, dw.sar atau SP Stack Kernel untuk embedded, SPS08 revision 089.05 atau SPS07 revision 079.11 untuk HANA XS Classic, dan versi 1.5.4 atau lebih baru untuk XS Advanced.

Langkah Selanjutnya dan Rekomendasi

SAP merekomendasikan agar pelanggan menerapkan patch sesegera mungkin. RedRays menyarankan untuk memperbarui kernel dan semua Web Dispatcher dalam satu rollout yang mencakup semua 17 perbaikan kernel dan Web Dispatcher bulan ini.

Untuk celah Gateway, Onapsis menyarankan untuk memeriksa daftar proxy prxyinfo terlebih dahulu. “Daftar yang permisif, terbuka untuk jaringan luas atau host mana pun, membuat sistem terekspos pada level patch apa pun,” kata Onapsis. Batasi daftar tersebut, dimulai dari gateway yang dapat dijangkau dari internet.

Jika tidak ada file prxyinfo, parameter profil gw/acl_mode_proxy yang menentukan. Parameter ini dikirim dengan nilai 0, yang mengizinkan semua koneksi proxy. Kernel 7.93 dan 9.16 sudah memiliki parameter ini dan perlu disetel ke 1. Kernel 7.22, 7.53, 7.54, 7.77, dan 8.04 mendapatkan parameter ini melalui patch kernel. Kernel 9.20 dan 9.21 juga mendapatkan patch kernel.

Untuk ICM, jika pengguna hanya mengakses melalui Web Dispatcher, menambal Web Dispatcher dapat melindungi ICM untuk sementara. Namun, ini hanya berlaku jika tidak ada yang dapat menjangkau port ICM secara langsung. Onapsis juga memperingatkan bahwa pada rilis 7.93, patch level yang lebih tinggi tidak selalu berarti sudah diperbaiki: patch level 419 masih rentan, dan hanya Stack Kernel 401 yang diperbarui, 402 setelah dirilis, dan 420 atau lebih baru yang membawa perbaikan.

Menonaktifkan dukungan WebSocket dapat memblokir bug sebagai upaya terakhir, tetapi ini merusak fitur yang bergantung padanya, seperti ABAP Push Channels dan beberapa fitur Fiori. Untuk Web Dispatcher, temukan setiap instance terlebih dahulu karena satu instance yang terlewat akan membuat celah tetap terbuka.

Perusahaan juga disarankan untuk membatasi port gateway (33NN dan 48NN) hanya ke host yang memerlukan akses RFC. Langkah-langkah ini diharapkan dapat mengurangi risiko eksploitasi sebelum patch diterapkan sepenuhnya.

Analisis Redaksi

Empat kerentanan CVSS 10.0 dalam satu Patch Day adalah sinyal bahaya yang tidak bisa diabaikan. SAP adalah tulang punggung operasional banyak perusahaan besar, dan celah yang dapat dieksploitasi tanpa autentikasi berarti pintu depan terbuka lebar bagi penyerang. Yang lebih mengkhawatirkan, dua di antaranya memungkinkan eksekusi kode jarak jauh—tidak perlu kredensial, tidak perlu interaksi pengguna.

Onapsis telah menemukan dan memberikan eksploit yang berfungsi kepada SAP. Itu berarti kerentanan ini bukan sekadar teori. Meski belum ada laporan eksploitasi di alam liar, publikasi patch dan detail teknis membuka peluang bagi aktor jahat untuk melakukan reverse engineering. Jendela waktu antara patch dan eksploitasi publik bisa sangat singkat.

RedRays dan Onapsis sepakat bahwa patch kernel saja tidak cukup untuk beberapa celah. Ini menunjukkan bahwa hardening konfigurasi sama pentingnya dengan patch itu sendiri. Banyak organisasi mungkin mengabaikan parameter seperti gw/acl_mode_proxy atau daftar prxyinfo, sehingga tetap rentan meski sudah menambal. Kesadaran akan konfigurasi yang aman harus ditingkatkan.

Penggunaan WebSocket yang aktif secara default menjadi catatan tersendiri. Fitur yang tidak digunakan tetapi aktif dapat menjadi vektor serangan. Prinsip least privilege dan disabling fitur yang tidak perlu harus diterapkan. Namun, menonaktifkan WebSocket bukan solusi permanen karena merusak fungsionalitas.

Yang paling krusial, perusahaan perlu segera memetakan seluruh instance SAP dan Web Dispatcher mereka. Satu instance yang terlewat bisa menjadi titik masuk. Rollout patch secara menyeluruh dalam satu gelombang, seperti disarankan RedRays, adalah langkah bijak. Jangan menunda.

Sumber: onapsis.com