Top 10 der SAP Security Notes für November 2026.
1. Score 10 (Hot News)
Nummer: 3849308
[CVE-2026-120017] Fehlende Authentifizierung in SAP NetWeaver AS ABAP und ABAP-Plattform (SAML2-Service-Provider)
Bestimmte Konfigurationen in SAP NetWeaver AS ABAP sowie der ABAP-Plattform verifizieren eingehende Authentifizierungs-Assertions nicht hinreichend. Ein Angreifer ohne jegliche Authentifizierung kann durch präparierte Datenströme die Sicherheitsprüfung aushebeln und sich als ein beliebiger Nutzer – selbst mit Administratorrechten – ausgeben. Gelingt der Angriff, droht der komplette Verlust der Systemkontrolle. Die Schadwirkung kann dabei sogar auf angebundene Fremdsysteme übergreifen und gefährdet die Vertraulichkeit, Integrität und den reibungslosen Betrieb der gesamten Anwendung massiv.
2. Score 10 (Hot News)
Nummer: 3798345
[CVE-2026-89103] Fehlerhafte Zugriffskontrolle in SAP Gateway
Wird die Zugriffskontrollliste des SAP Gateway mit weitreichenden Rechten betrieben, droht eine gefährliche Fehlklassifikation: Externe Angreifer werden dadurch fälschlicherweise wie interne Anwendungsserver behandelt. Schon ein unauthentifizierter Täter mit entsprechendem Netzwerkzugriff kann diese Lücke missbrauchen, um eigenmächtig Befehle im SAP Gateway auszuführen. Die Konsequenzen treffen die Vertraulichkeit, Integrität und Systemverfügbarkeit des betroffenen Umfelds schwer.
3. Score 10 (Hot news)
Nummer: 3778556
[CVE-2026-89126] Speicherschadenschwachstelle in SAP Web Dispatcher
Da der SAP Web Dispatcher bestimmte Netzwerkdaten, die an interne Komponenten weitergegeben werden, nur unzureichend prüft, entsteht ein Einfallstor für Manipulationen. Ein Angreifer ohne jegliche Authentifizierung kann gezielt präparierten Netzwerkverkehr einsetzen, um in dem entsprechenden Bereich einen Speicherfehler (Memory Corruption) herbeizuführen. Ein erfolgreicher Exploit gibt dem Täter die Möglichkeit, fremden Quellcode einzuschleusen und die Kontrolle über das gesamte System zu übernehmen. Dies zieht massive Schäden für die Vertraulichkeit, Integrität sowie die Verfügbarkeit nach sich.
4. Score 10 (Hot news)
Nummer: 3778530
[CVE-2026-76964] Speicherbeschädigungsschwachstelle in SAP NetWeaver AS ABAP (Internet Communication Manager)
Eine unzureichende Prüfung bestimmter Netzwerkdaten, die intern weiterverarbeitet werden, lässt SAP NetWeaver Application Server ABAP verwundbar zurück. Ohne jegliche Authentifizierung kann ein Angreifer manipulierten Datenverkehr senden, um in der Zielkomponente einen schwerwiegenden Speicherfehler (Memory Corruption) zu provozieren. Gelingt dieser Angriff, öffnet dies Tür und Tor für das Ausführen beliebigen Quellcodes und die vollständige Übernahme des Systems. Die Folgen für Vertraulichkeit, Integrität und Verfügbarkeit sind dementsprechend gravierend.
5. Score 9.9 (Hot news)
Nummer: 3834842
[CVE-2026-109795] Fehlende Berechtigungsprüfung in S4CRM
Wegen fehlender Berechtigungsprüfungen und unzureichender Validierung von Eingaben in bestimmten remote-fähigen Funktionen weist SAP NetWeaver eine kritische Lücke auf. Ein Akteur mit minimalen Rechten kann über eine Remote-Schnittstelle präparierte Daten übermitteln, um fremden Code in das Zielsystem einzuschleusen und auszuführen. Ein erfolgreicher Exploit dehnt die Zugriffsmöglichkeiten des Angreifers weit über die eigentliche Schwachstelle hinaus aus, was die Vertraulichkeit, Integrität und Verfügbarkeit schwer beschädigt.
6. Score 9.9 (Hot news)
Nummer: 3809153
[CVE-2026-109803] Code-Injection-Schwachstelle in SAP NetWeaver Knowledge Management (XML-Formulare)
Innerhalb von SAP NetWeaver Knowledge Management (XML-Formulare) fehlt eine hinreichende Einschränkung bei der Auswahl von XSL-Transformationen, die durch die betroffenen Routinen verarbeitet werden. Unter spezifischen Voraussetzungen gelingt es einem bereits authentifizierten Anwender mit entsprechenden Zugriffsrechten, die Ausführung unautorisierter XSL-Transformationen zu triggern. Dies öffnet Tür und Tor für das Ausführen beliebigen Codes im Kontext der Anwendung. Ein erfolgreicher Angriff beeinträchtigt folglich die Vertraulichkeit, Integrität sowie Verfügbarkeit des Systems spürbar.
7. Score 9.9 (Hot news)
Nummer: 3792735
[CVE-2026-76965] BS-Command-Injection-Schwachstelle in SAP Application Server for SAP NetWeaver und ABAP-Plattform
Wegen fehlender Berechtigungsprüfungen bei bestimmten internen Funktionen in SAP NetWeaver Application Server ABAP und der ABAP-Plattform besteht ein erhebliches Sicherheitsrisiko. Ein Akteur mit nur geringen Rechten kann die betroffenen Routinen gezielt ansprechen, um direkt auf dem darunterliegenden Host beliebige Betriebssystembefehle auszuführen. Gelingt dieser Angriff, greifen die Auswirkungen weit über die anfällige Komponente hinaus auf weitere Systemressourcen über, wodurch Vertraulichkeit, Integrität und Verfügbarkeit massiv gefährdet werden.
8. Score 9.6 (Hot news)
Nummer: 3804858
[CVE-2026-89119] Cross-Site-Request-Forgery-Schwachstelle (CSRF) in SAP Web Dispatcher und Internet Communication Manager
Dieser Advisory-Hinweis widmet sich mehreren kritischen Sicherheitslücken im SAP Web Dispatcher sowie im Internet Communication Manager inklusive aller CVE-Spezifikationen:
Cross-Site-Request-Forgery im SAP Web Dispatcher & ICM ([CVE-2026-89119] | CVSS: 9.6 – AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H): Sowohl der SAP Web Dispatcher als auch der Internet Communication Manager von SAP NetWeaver AS ABAP lassen eine hinreichende Validierung von Requests bei spezifischen Administratorfunktionen vermissen. Ein unauthentifizierter Akteur kann sich diesen Umstand zunutze machen, indem er einen aktiven Administrator dazu bringt, einen manipulierten Link anzuklicken. Dies triggert unautorisierte Befehle innerhalb der laufenden Admin-Sitzung. Ein erfolgreicher Exploit gipfelt in der vollständigen Systemübernahme und bedroht Vertraulichkeit, Integrität sowie Verfügbarkeit massiv.
Cross-Site-Request-Forgery in den SAP HANA Advanced Application Services ([CVE-2026-120014] | CVSS: 7.6 – AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:L): Auch der Web Dispatcher der SAP HANA Erweiterte Anwendungsservices versäumt eine adäquate Request-Prüfung in administrativen Bereichen. Durch das Aufrufen eines präparierten Links – initiiert durch einen nicht authentifizierten Angreifer gegenüber einem angemeldeten Administrator – lassen sich ungewollte Aktionen in dessen Session erzwingen. Dies führt im Erfolgsfall zu einer zeitweiligen Kompromittierung des Web Dispatchers, was die Vertraulichkeit stark sowie Integrität und Verfügbarkeit teilweise beeinträchtigt.
9. Score 9.1 (Hot news)
Nummer: 3799117
[CVE-2026-109798] XML-Schwachstelle für externe Entität (XXE) in SAP-BusinessObjects-Business-Intelligence-Plattform (Web Intelligence)
Da SAP BusinessObjects Business Intelligence (Web Intelligence) bei der Verarbeitung von OLAP-Verbindungsanfragen die Auflösung externer Entitäten nicht sachgemäß beschränkt, klafft hier eine Sicherheitslücke. Ein bereits authentifizierter Täter kann diese Schwachstelle instrumentalisieren, um auf geschützte Ressourcen zuzugreifen. Dies ermöglicht ihm das Auslesen sensibler Dateien auf dem Server sowie das Erreichen interner, ansonsten abgeschotteter Systeme. Die Schadwirkung greift dabei spürbar über die eigentliche Komponente hinaus und beeinträchtigt vor allem die Vertraulichkeit massiv, während Integrität und Verfügbarkeit in geringerem Maße betroffen sind.
10. Score 8.9 (High Priority)
Nummer: 3769130
[CVE-2026-76966] Mehrere Schwachstellen in Application Server ABAP von SAP NetWeaver und ABAP-Plattform
Dieser Security-Hinweis widmet sich verschiedenen Schwachstellen im Application Server ABAP von SAP NetWeaver sowie der ABAP-Plattform mitsamt aller dazugehörigen CVE- und CVSS-Kennzahlen:
Fehlerhafte RFC-Protokollvalidierung im SAP-Kernel ([CVE-2026-76966] | CVSS: 8.9 – AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L): Auf Basis einer fehlerhaften RFC-Protokollprüfung im SAP-Kernel – welcher vom ABAP Application Server und der ABAP-Plattform genutzt wird – ist ein unauthentifizierter Akteur in der Lage, einen präparierten RFC-Request abzusetzen. Dieser nutzt logische Defizite in der Speicherverwaltung aus und provoziert einen Speicherschaden (Memory Corruption). Die Folgen treffen vor allem Vertraulichkeit und Integrität schwer, während die Verfügbarkeit nur in geringem Maße beeinträchtigt wird.
Fehlende Speicherinitialisierung in internen Komponenten ([CVE-2026-109796] | CVSS: 4.3 – AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N): Innerhalb bestimmter interner Routinen unterlassen SAP NetWeaver Application Server ABAP und die ABAP-Plattform eine saubere Initialisierung des Speichers. Unter spezifischen Voraussetzungen gelingt es Angreifern mit niedrigen Berechtigungen dadurch, uninitialisierte Speicherinhalte preiszugeben. Dies schlägt sich in einer geringen Beeinträchtigung der Vertraulichkeit nieder, während Integrität und Verfügbarkeit gänzlich unberührt bleiben.
Eilmeldung
Rekordverdächtige Welle an SAP Security Notes veröffentlicht! Neben den Top-Vulnerabilities wurden heute weitere hochkritische SAP Security Notes publiziert. Die aktuelle Bedrohungslage erfordert die sofortige Überprüfung aller produktiven und nachgelagerten SAP-Systeme.
>> Weitere Security Notes https://me.sap.com/securitynotes
Das regelmäßige Einspielen von Security-Patches ist aus drei Gründen unverzichtbar:
Schutz vor Totalausfall & Sabotage: Wie die aktuellen Meldungen zu Denial-of-Service (DoS) zeigen, können Angreifer Systeme gezielt lahmlegen. Ohne Patches riskieren Unternehmen kostspielige Stillstände der gesamten Produktion oder des Vertriebs.
Prävention von Datendiebstahl: Schwachstellen wie SQL-Injections oder XML-Manipulationen sind offene Türen für Industriespionage. Einmal im System, können Angreifer unbemerkt sensible Geschäftsgeheimnisse oder Kundendaten absaugen.
Compliance & Haftung: Gesetzliche Anforderungen (wie die DSGVO) und interne Audits fordern ein angemessenes Sicherheitsniveau. Wer bekannte Lücken offen lässt, handelt grob fahrlässig und riskiert nicht nur Bußgelder, sondern auch einen massiven Reputationsverlust.