שלוש מהחולשות נמצאות בשרת היישומים SAP NetWeaver, שעליו רצות מערכות SAP, ואחת ב-Web Dispatcher, שמקבל בקשות מהאינטרנט ומעביר אותן לשרת. החולשות ב-ICM, הרכיב שמטפל בתעבורת הרשת של השרת (CVE-2026-76964), וב-Web Dispatcher (CVE-2026-89126) נובעות מבאג משותף שחברת האבטחה Onapsis כינתה ICM2SHELL: תעבורה שנבנתה במיוחד יכולה לשבש את הזיכרון ולאפשר הרצת קוד. לפי Onapsis, תמיכת WebSocket פעילה כברירת מחדל, ולכן מערכת חשופה גם אם לא משתמשים בה, והבאג יכול גם להפיל Web Dispatcher ולנתק את כל מערכות SAP שמאחוריו.
החולשה השלישית, CVE-2026-120017 ברכיב ה-SAML 2.0, עלולה לאפשר לתוקף להתחבר בתור כל משתמש, כולל משתמשים בעלי הרשאות, במערכות מסוימות שמשתמשות בהזדהות יחידה (SSO). הרביעית, CVE-2026-89103 ב-SAP Gateway, שהחוקרים כינו PROXYGATE, מאפשרת לתוקף חיצוני להיחשב לאחד משרתי היישומים של המערכת ולבצע פעולות לא מורשות. Onapsis, שמצאה שלוש מהחולשות, אומרת שלא ראתה ניצול שלהן בתקיפות.
מה לעשות: SAP ממליצה להחיל את התיקונים בעדיפות עליונה; הם מפורסמים ב-SAP for Me. לפי Onapsis, גם גרסאות קרנל שכבר אינן בתחזוקה מושפעות, ועלולות לא לקבל תיקון, ולכן יש לשדרג אותן לגרסה נתמכת. חברת RedRays ממליצה לעדכן את הקרנל ואת כל ה-Web Dispatchers במהלך אחד.
