SAP ออก Patch แก้ช่องโหว่ระดับ Critical PROXYGATE และ ICM2SHELL ที่อาจทำให้ผู้โจมตีเข้ายึดระบบ SAP ได้โดยไม่ต้องเข้าสู่ระบบ

SAP ได้ออก Patch แก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical จำนวน 2 รายการ ได้แก่ PROXYGATE และ ICM2SHELL ซึ่งอาจทำให้ผู้โจมตีสามารถเข้าควบคุมระบบ SAP ได้โดยไม่ต้องเข้าสู่ระบบ

ช่องโหว่เหล่านี้ถูกเปิดเผยในงาน Security Patch Day เมื่อวันที่ 10 พฤศจิกายน 2026 โดยมีคะแนน CVSS สูงสุดที่ 10.0 และส่งผลกระทบต่อ Component หลักที่ใช้งานในแอปพลิเคชันทางธุรกิจหลายประเภท ซึ่ง Onapsis Research Labs เป็นผู้ค้นพบ และรายงานช่องโหว่ทั้งสองรายการ

ช่องโหว่ดังกล่าวทำให้ผู้โจมตีที่สามารถเข้าถึงระบบผ่านเครือข่าย สามารถรันคำสั่งของระบบปฏิบัติการภายใต้บัญชี <sid>adm ซึ่งเป็นบัญชีเจ้าของระบบ SAP ที่ติดตั้งไว้

ส่งผลให้ผู้โจมตีสามารถควบคุมสภาพแวดล้อม SAP ที่ได้รับผลกระทบได้ แต่ไม่ได้หมายความว่าจะได้รับสิทธิ์ root บน Server โดยอัตโนมัติ ทั้งนี้ ข้อมูลทางธุรกิจ Credential ที่จัดเก็บไว้ การตั้งค่าแอปพลิเคชัน และความพร้อมใช้งานของระบบ อาจตกอยู่ในความเสี่ยง

PROXYGATE โจมตีกลไกความเชื่อถือของ SAP Gateway

PROXYGATE หรือ CVE-2026-89103 เป็นช่องโหว่ที่ส่งผลกระทบต่อ SAP Gateway ซึ่งเป็น Component ที่จัดการการสื่อสารระหว่างระบบ SAP กับโปรแกรมภายนอก โดยแตกต่างจากช่องโหว่ที่เกิดจากการกำหนด Rule Gateway ที่ไม่รัดกุม เนื่องจากช่องโหว่ใน Kernel นี้ยังอาจถูก Exploit ได้ แม้ว่าผู้ดูแลระบบจะกำหนด Access Control List อย่าง secinfo และ reginfo ซึ่งเป็นรายการที่มักได้รับการตรวจสอบ ให้มีความปลอดภัยแล้วก็ตาม

ช่องโหว่นี้เกิดจากวิธีที่ Gateway ใช้ตรวจสอบว่า Request ที่ได้รับมาจาก Server ภายในที่เชื่อถือได้หรือไม่ เมื่อ Proxy Policy อนุญาตให้มีการเชื่อมต่อ ผู้โจมตีจากภายนอกสามารถสร้าง Request ที่ออกแบบมาเป็นพิเศษ เพื่อทำให้ระบบเข้าใจผิดว่า Request ดังกล่าวมาจากภายในเครือข่าย จากนั้น Gateway จะยอมรับ Request ที่ Rule เดิมอนุญาตให้ระบบที่เชื่อถือได้ดำเนินการ ซึ่งอาจนำไปสู่การรันคำสั่งตามที่ผู้โจมตีกำหนด

ความเสี่ยงในการถูกโจมตีขึ้นอยู่กับ Proxy Access List ที่ชื่อว่า prxyinfo ซึ่งมักได้รับการตรวจสอบน้อยกว่า รวมถึงการตั้งค่าที่เกี่ยวข้อง หากกำหนด Policy อย่างเข้มงวด จะสามารถป้องกันการ Exploit จากเครือข่ายที่ไม่น่าเชื่อถือได้ แต่หากตั้งค่า Rule แบบอนุญาตกว้างเกินไป หรือไม่มีการกำหนด Rule ไว้ ก็อาจทำให้ระบบเสี่ยงต่อการถูกโจมตี

SAP Gateway ที่ได้รับผลกระทบมีการใช้งานอยู่ในระบบ ABAP, AS Java, Dual-stack และการติดตั้งแบบ Standalone ทำให้ขอบเขตของผลกระทบไม่ได้จำกัดอยู่เพียงแอปพลิเคชันประเภทใดประเภทหนึ่ง

ICM2SHELL ส่งผลกระทบต่อการจัดการ Web Traffic

ตามรายงานคำแนะนำด้านความปลอดภัยเกี่ยวกับ ICM2SHELL ของ Onapsis ช่องโหว่รายการที่สองเกี่ยวข้องกับปัญหา Memory Corruption ภายใน Code ของ SAP Kernel ที่ใช้ร่วมกันสำหรับประมวลผล WebSocket Traffic โดย CVE-2026-76964 ส่งผลกระทบต่อ Internet Communication Manager (ICM) ส่วน CVE-2026-89126 ส่งผลกระทบต่อ SAP Web Dispatcher รวมถึง Component SAP HANA XS ที่เกี่ยวข้อง นอกจากนี้ Cybersecurity News ยังระบุถึงช่องโหว่ ICM ระดับ Critical ดังกล่าวในรายงานเกี่ยวกับ Patch ของ SAP ประจำเดือนพฤศจิกายนด้วย

ผู้โจมตีที่สามารถเข้าถึง HTTP หรือ HTTPS Port ของระบบที่ได้รับผลกระทบ อาจทำให้หน่วยความจำของ Process เสียหาย รันคำสั่ง หรือทำให้ Service หยุดทำงานได้ โดยระบบเปิดใช้งาน WebSocket เป็นค่าเริ่มต้น แม้ว่าองค์กรจะไม่ได้ใช้งานฟังก์ชันดังกล่าวอยู่ก็ตาม

Service บางรายการของ SAP S/4HANA อนุญาตให้เชื่อมต่อผ่าน WebSocket ได้โดยไม่ต้องผ่าน Authentication ทำให้ผู้โจมตีไม่จำเป็นต้องมี Credential ที่ขโมยมา หรืออาศัยการกระทำใด ๆ จากผู้ใช้งาน

Onapsis รายงานว่า ณ เวลาที่เผยแพร่ข่าว ยังไม่พบการ Exploit ช่องโหว่ทั้งสองรายการ แต่ไม่ได้หมายความว่าระบบ SAP ทุกแห่งจะปลอดภัย โดยการโจมตี SAP ที่ไม่เกี่ยวข้องกับช่องโหว่เหล่านี้ซึ่งเกิดขึ้นก่อนหน้านี้ แสดงให้เห็นถึงผลกระทบที่อาจเกิดขึ้นต่อธุรกิจ รวมถึงเหตุการณ์ที่ระบบ NetWeaver ถูกเจาะระบบเพื่อนำ Malware ชื่อ Auto-Color ไปติดตั้ง ทั้งนี้ เหตุการณ์ดังกล่าวแยกจากช่องโหว่ PROXYGATE และ ICM2SHELL

รายงานคำแนะนำทางเทคนิคของ PROXYGATE เตือนว่า การติดตั้ง Patch เพียงอย่างเดียวอาจไม่เพียงพอที่จะปิดความเสี่ยง โดย SAP Kernel เวอร์ชันที่ได้รับผลกระทบส่วนใหญ่จำเป็นต้องติดตั้งอัปเดตที่เกี่ยวข้อง พร้อมกำหนดค่า gw/acl_mode_proxy = 1 นอกจากนี้ ผู้ดูแลระบบยังต้องจำกัด Rule prxyinfo ที่อนุญาตการเข้าถึงกว้างเกินไป ส่วน Kernel ที่สิ้นสุดการสนับสนุนแล้ว จำเป็นต้องอัปเกรดไปยังเวอร์ชันที่ยังได้รับการ Support และสามารถใช้งานร่วมกับระบบได้ โดยต้องดำเนินการเปลี่ยนแปลงให้ครอบคลุม Application Server ทุกเครื่อง

SAP ได้แก้ไขช่องโหว่ ICM2SHELL ผ่าน Security Notes หมายเลข 3778530 และ 3778556 โดยทีมงานควรให้ความสำคัญกับ Web Dispatcher และ ICM Service ที่เปิดให้เข้าถึงจากภายนอกก่อน จากนั้นตรวจสอบให้แน่ใจว่ามีการแก้ไขช่องโหว่ครอบคลุมระบบ SAP ทั้งหมดขององค์กร
การเข้าถึง Gateway ควรถูกจำกัดให้เฉพาะ Host ที่จำเป็นต้องใช้งานเท่านั้น แม้ว่าการจำกัดการเข้าถึงผ่านเครือข่ายจะช่วยลดความเสี่ยงได้ แต่ไม่สามารถใช้ทดแทนการติดตั้ง Patch ให้ครบถ้วน และการปรับเปลี่ยน Configuration ที่จำเป็นได้

ที่มา : Cybersecuritynews