Der monatliche SAP-Patchday bringt im September mehrere sicherheitsrelevante Aktualisierungen, von denen eine als kritisch eingestuft wird. Admins von SAP-basierten Anwendungen müssen die bereitgestellten Patches zeitnah einspielen, um ihre Systeme vor potenziell schwerwiegenden Angriffen zu schützen. Bislang liegen keine Berichte über aktive Ausnutzung der Schwachstellen vor, doch die hohe Einstufung einiger Lücken erfordert sofortiges Handeln.
Kritische Lücke in SAP Extended Passport ermöglicht Systemabstürze
Die mit Abstand gefährlichste Schwachstelle des aktuellen Patchdays trägt die Kennung CVE-2026-44756 und betrifft die Komponente SAP Extended Passport (EPP). Sie wurde von den Sicherheitsforschern von Onapsis entdeckt und unter dem Namen „OVERPASS“ veröffentlicht. Der CVSS-Score beträgt 10 von 10 – die höchste Risikostufe überhaupt. Angreifer, die Netzwerkzugriff auf das betroffene System besitzen, können ohne vorherige Authentifizierung speziell präparierte Netzwerkanfragen senden. Diese lösen einen Fehler im EPP-Modul aus, der wiederum zu einem Absturz der Anwendung führt. Ein solcher Denial-of-Service-Angriff kann den laufenden Geschäftsbetrieb erheblich beeinträchtigen.
Der Mechanismus hinter der Lücke liegt in einer fehlerhaften Validierung eingehender Daten innerhalb des Extended-Passport-Dienstes. Onapsis zufolge nutzt die Attacke eine Schwäche in der Verarbeitungslogik, die es erlaubt, durch geschickt manipulierte Anfragen eine nicht abgefangene Ausnahme auszulösen. Da keine Authentifizierung erforderlich ist, kann jeder Netzwerkteilnehmer, der die IP-Adresse und den Port des Dienstes kennt, den Angriff starten. Admins sollten daher umgehend prüfen, ob sie SAP EPP im Einsatz haben, und die von SAP bereitgestellten Patches installieren.
Weitere kritische Lücken in NetWeaver und Cloud Application Programming Model
Zwei zusätzliche Schwachstellen wurden als „kritisch“ eingestuft. Die erste (CVE-2026-58240, CVE-2026-66768) betrifft SAP NetWeaver. Hier können Angreifer die Authentifizierung umgehen und unberechtigt auf sensible Zugangsdaten zugreifen. Die zweite (CVE-2026-76969) betrifft das SAP Cloud Application Programming Model (CAP). Auch hier besteht die Gefahr eines Authentifizierungsbypasses, der einen Zugriff auf vertrauliche Informationen ermöglicht. Beide Lücken erfordern ebenfalls keine speziellen Berechtigungen und können über das Netzwerk ausgenutzt werden.
Für Unternehmen, die SAP NetWeaver als Integrationsplattform oder CAP für cloudnative Anwendungen nutzen, sind diese Sicherheitslücken besonders relevant. Ein erfolgreicher Angriff könnte dazu führen, dass Angreifer Anmeldedaten von Benutzern oder technischen Konten erlangen und sich später im System ausbreiten. Die Patches für diese Komponenten sind im SAP-Supportportal verfügbar und sollten vorrangig auf Systemen mit Internet- oder Intranet-Konnektivität installiert werden.
Weitere Gefahren: Rechteausweitung und Informationsleaks
Neben den kritischen Einstufungen gibt es zwei weitere Schwachstellen mit der Bewertung „hoch“. In den SAP ABAP Developer Tools (CVE-2026-58243) können Angreifer sich höhere Nutzerrechte verschaffen. Dies könnte es einem unprivilegierten Benutzer erlauben, administrative Aktionen auszuführen oder auf geschützte Entwicklungsressourcen zuzugreifen. Die Lücke entsteht durch eine unzureichende Zugriffskontrolle in den Entwicklungswerkzeugen.
Ebenfalls als „hoch“ eingestuft ist die Schwachstelle CVE-2026-2332 in SAP Commerce Cloud. Hier können Angreifer über eine fehlerhafte Berechtigungsprüfung vertrauliche Informationen auslesen. Da SAP Commerce Cloud häufig für E-Commerce-Plattformen mit Kunden- und Bestelldaten eingesetzt wird, könnte ein Informationsleck weitreichende Folgen haben – von Datenschutzverstößen bis hin zu Reputationsschäden. Admins sollten auch diese Updates nicht aufschieben.
Welche Maßnahmen müssen Admins jetzt ergreifen?
Der erste Schritt ist die Identifikation der betroffenen Systeme. Admins sollten im SAP-Supportportal nach den genannten CVE-Nummern suchen und die dort bereitgestellten Patches herunterladen. SAP veröffentlicht zu jeder Schwachstelle eine detaillierte Security Note mit Anleitungen zur Behebung. Da einige Lücken keine Authentifizierung erfordern, ist eine zeitnahe Installation besonders dringend. In der Zwischenzeit können Netzwerksegmentierung und Firewall-Regeln genutzt werden, um den Zugriff auf die verwundbaren Dienste einzuschränken – etwa nur auf vertrauenswürdige IP-Bereiche.
Ein regelmäßig durchgeführter Patch-Managementaaa-Prozess ist essenziell, um Sicherheitslücken dieser Art zu schließen. Die aktuellen Schwachstellen zeigen, dass auch gut etablierte SAP-Komponenten wie Extended Passport oder NetWeaver anfällig sein können. Besonders die Möglichkeit, ohne Authentifizierung Systemabstürze auszulösen, macht die Lücke in EPP zu einem ernsten Risiko für Unternehmen mit hohen Verfügbarkeitsanforderungen.
In Zukunft sollten Unternehmen ihre SAP-Landschaft kontinuierlich auf dem neuesten Stand halten und Sicherheitswarnungen von SAP sowie unabhängigen Forschern proaktiv verfolgen. Angesichts der zunehmenden Vernetzung und Cloud-Nutzung wird die Angriffsfläche für SAP-Systeme weiter wachsen. Die im September 2026 veröffentlichten Patches sind ein wichtiger Schritt, um die Systeme gegen die aktuellen Bedrohungen zu wappnen. Wer jetzt handelt, minimiert das Risiko von Betriebsunterbrechungen und Datenverlusten.
