SAP hat an seinem September-Patchday gleich mehrere hochgefährliche Sicherheitslücken geschlossen – darunter eine Schwachstelle mit der Höchstwertung CVSS 10.0, über die Angreifer ohne jede Anmeldung Befehle mit SAP-Administratorrechten ausführen können.
Insgesamt veröffentlichte der Walldorfer Konzern am 8. September 2026 19 neue Security Notes sowie ein Update. Vier der Meldungen stuft SAP als kritisch ein. Betroffen sind zentrale Komponenten von NetWeaver, S/4HANA und der SAP Cloud, die in nahezu jedem größeren Unternehmensnetz laufen.
Höchstwertung für die Extended-Passport-Lücke
Am schwersten wiegt CVE-2026-44756 (CVSS 10.0, SAP Security Note 3747649) im Extended Passport Protocol des SAP-Kernels. Ein nicht authentifizierter Angreifer schickt dazu einen manipulierten Protokoll-Header, der einen Speicherüberlauf auslöst. Laut dem SAP-Sicherheitsspezialisten Onapsis lässt sich die Lücke aus der Ferne und ohne Zugangsdaten ausnutzen und erlaubt es, beliebige Betriebssystembefehle mit SAP-Administratorrechten auf dem Host auszuführen – also die vollständige Übernahme des Systems.
Message Server nimmt gefälschte Komponenten an
Fast ebenso kritisch ist CVE-2026-58240 (CVSS 9.8, Note 3759472) im NetWeaver Message Server. Weil dieser die Echtheit interner Applikationsserver-Komponenten bei der Registrierung nicht ausreichend prüft, können Angreifer aus dem Netz eigene, bösartige Komponenten anmelden. Onapsis zufolge betrifft dies jedes S/4HANA-2025-System und ältere Installationen auf den Kerneln 9.16 bis 9.20. Weitere kritische Notes:
- CVE-2026-76969 (CVSS 9.4): Diebstahl von Zugangsdaten in mandantenfähigen Cloud-Anwendungen (sap/cds-mtxs)
- CVE-2026-66768 (CVSS 9.0): unzureichende Zugriffsbeschränkung
- CVE-2026-58243 (CVSS 8.8): fehlende Autorisierungsprüfung
Aktive Angriffe sind bislang nicht gemeldet. Beide Top-Lücken tragen jedoch das HotNews-Kennzeichen; besonders aus dem Internet erreichbare oder schlecht segmentierte Message-Server gelten als Risiko. Administratoren sollten die Patches umgehend in allen Umgebungen einspielen.
Quellen: Onapsis · SecurityOnline · Cyber Security News
