SAP Security Patch Day: Kritische Lücken mit CVSS 10 und 9,8

Der SAP Security Patch Day im September bringt mehrere kritische Sicherheitsupdates für zentrale SAP-Komponenten. Besonders relevant sind CVE-2026-44756 mit CVSS 10,0 und CVE-2026-58240 mit CVSS 9,8. Beide Schwachstellen lassen sich laut CERT-EU aus der Ferne und ohne vorherige Authentifizierung ausnutzen.

SAP veröffentlichte am 8. September 2026 insgesamt 19 neue Security Notes und aktualisierte zusätzlich einen älteren Hinweis. Vier der neuen Einträge stuft der Hersteller als kritisch ein. Für Unternehmen mit geschäftskritischen SAP-Systemen gehört die Prüfung der betroffenen Komponenten deshalb in das laufende Cybersecurity und Patch Management.

SAP Security Patch Day: Vier kritische Lücken stehen im Fokus

Die höchste Bewertung erhält CVE-2026-44756. Die Schwachstelle betrifft die Verarbeitung des SAP Extended Passport, kurz EPP, und erreicht den Maximalwert CVSS 10,0. Betroffen sind verschiedene Kernel-Versionen sowie mehrere Versionen des SAP Web Dispatcher.

An zweiter Stelle steht CVE-2026-58240 im SAP NetWeaver Message Server mit CVSS 9,8. Hinzu kommen CVE-2026-76969 in der SAP Cloud Application Programming Model Library mit CVSS 9,4 und CVE-2026-66768 in SAP GUI for Java mit CVSS 9,0.

Neben diesen vier kritischen Lücken enthält der September-Patch-Day weitere Schwachstellen mit hoher und mittlerer Bewertung. Dazu zählen unter anderem Probleme in der SAP Integration Suite, im NetWeaver Business Client und im Application Server ABAP. Unternehmen sollten daher nicht nur die beiden höchsten CVSS-Werte betrachten, sondern ihre gesamte SAP-Landschaft mit den Security Notes abgleichen.

CVE-2026-44756 erreicht den Höchstwert CVSS 10

CVE-2026-44756 betrifft gemeinsamen Kernel-Code für die Verarbeitung von Extended-Passport-Daten. Nach Angaben von SAP fehlt bei der Deserialisierung eine ausreichende Prüfung von Speichergrenzen. Ein Angreifer kann dadurch speziell präparierte Netzwerkanfragen an ein betroffenes System senden.

CERT-EU verweist auf Analysen von Onapsis. Demnach kann eine erfolgreiche Ausnutzung die Ausführung beliebiger Betriebssystembefehle im Kontext des SAP-Administrationskontos ermöglichen. Dadurch könnten nicht nur einzelne Dienste, sondern auch die darunterliegenden Geschäftsdaten und Prozesse kompromittiert werden.

Die betroffenen Versionen reichen von älteren Kernel-Linien bis zu aktuellen 9.x-Versionen. Auch mehrere Web-Dispatcher-Versionen sind aufgeführt. Entscheidend ist daher die konkrete Versionsprüfung. Allein der Einsatz von SAP bedeutet nicht automatisch, dass ein System von dieser Lücke betroffen ist.

NetWeaver Message Server ist ebenfalls kritisch betroffen

Bei CVE-2026-58240 fehlt eine ausreichende Authentifizierungsprüfung im SAP NetWeaver Message Server. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf den betroffenen Dienst kann laut SAP versuchen, eine nicht autorisierte Komponente zu registrieren.

Betroffen sind die Kernel-Versionen 9.16, 9.18, 9.19 und 9.20. CERT-EU bewertet auch diese Schwachstelle als aus der Ferne und ohne Authentifizierung ausnutzbar. Die Behörde empfiehlt, den zugehörigen SAP Security Note 3759472 möglichst schnell umzusetzen.

Für IT-Verantwortliche ist hier neben dem Patchstand auch die Erreichbarkeit des Message Servers relevant. Systeme mit unnötig weit geöffneten Netzwerkpfaden vergrößern ihre Angriffsfläche. Das ersetzt keinen Patch, kann aber Teil einer abgestuften Absicherung sein.

Zwei weitere kritische Schwachstellen betreffen CAP und SAP GUI

CVE-2026-76969 betrifft mandantenfähige Anwendungen, die eine verwundbare Version der SAP Cloud Application Programming Model Library sap/cds-mtxs einsetzen. SAP bewertet die Lücke mit CVSS 9,4. Nach Angaben von Onapsis können speziell gestaltete Anfragen zur Offenlegung sensibler Zugangsdaten führen.

CVE-2026-66768 betrifft SAP GUI for Java in Version 8.10. Die Schwachstelle entsteht durch unzureichende Zugriffskontrollen und erreicht CVSS 9,0. Onapsis zufolge kann eine erfolgreiche Ausnutzung unter bestimmten Voraussetzungen die Ausführung von Befehlen auf dem Rechner eines Nutzers ermöglichen.

Damit verteilt sich der Handlungsbedarf auf unterschiedliche Ebenen der SAP-Landschaft. Server, Kernel-Komponenten, Cloud-Anwendungen und Arbeitsplatzsoftware können jeweils eigene Aktualisierungswege benötigen.

Was sollten Unternehmen jetzt prüfen?

Zuerst sollte die IT erfassen, welche der von SAP genannten Produkte und Versionen tatsächlich eingesetzt werden. Danach lässt sich die Patch-Priorität anhand der konkreten Exposition, der technischen Abhängigkeiten und der Kritikalität des jeweiligen Geschäftsprozesses festlegen.

Für CVE-2026-44756 und CVE-2026-58240 empfiehlt CERT-EU eine schnelle Aktualisierung. SAP selbst rät Kunden, die veröffentlichten Security Notes priorisiert umzusetzen. Wo produktive Systeme nicht unmittelbar aktualisiert werden können, sollten Verantwortliche zusätzliche Netzwerkbegrenzungen und Überwachung prüfen. Solche Maßnahmen ersetzen die Herstellerupdates nicht.

Dass Patch-Management bei schwerwiegenden Schwachstellen schnell zum operativen Thema wird, zeigt auch die zuletzt aktiv ausgenutzte PaperCut-Lücke. Bei SAP ist eine aktive Ausnutzung der hier behandelten Lücken dagegen nicht Grundlage dieser Bewertung.

Das Patch-Management sollte außerdem dokumentieren, welche Systeme geprüft, aktualisiert oder bewusst zurückgestellt wurden. Gerade bei zentralen ERP- und Backend-Systemen erleichtert das spätere Audits und die Nachverfolgung offener Risiken.

Kritische SAP-Systeme erhöhen den Zeitdruck beim Patchen

Der SAP Security Patch Day im September zeigt, warum reine CVSS-Werte für die Priorisierung nicht ausreichen. Entscheidend sind auch Netzwerkzugriff, eingesetzte Versionen und die Rolle des betroffenen Systems im Unternehmen.

Bei den beiden schwersten Lücken kommt hinzu, dass keine vorherige Authentifizierung erforderlich ist. Unternehmen sollten deshalb zeitnah feststellen, ob verwundbare Komponenten vorhanden sind und die passenden SAP Security Notes einplanen.

Weitere Einordnungen zu Security, Cloud und Infrastruktur bündelt der IT-Dock-Newsletter unter https://it-dock.de/#newsletter.