Patchday SAP: Präparierte Netzwerkanfrage ebnet Weg für Abstürze

Um Attacken vorzubeugen, müssen Admins von SAP-Anwendungen zeitnah die jüngst veröffentlichten Versionen von bestimmter Businesssoftware installieren. Bislang gibt es keine Berichte über Attacken.

IT-Sicherheitsprobleme

Wie aus dem Sicherheitsbereich der SAP-Webseite hervorgeht, gilt eine „kritische“ Schwachstelle (CVE-2026-44756) in SAP Extended Passport (EPP) mit maximalem CVSS Score 10 von 10 als am gefährlichsten. Die Entdecker von Onapsis tauften die Lücke „OVERPASS“. Hat ein Angreifer Netzwerkzugriff, kann er ohne Authentifizierung präparierte Netzwerkanfragen absetzen, um dadurch Fehler auszulösen. In der Folge kommt es zu Abstürzen.

Weitere kritische Lücken betreffen SAP NetWeaver (CVE-2026-58240, CVE-2026-66768) und SAP Cloud Application Programming Model (CVE-2026-76969). An diesen Stellen können Angreifer die Authentifizierung umgehen und unberechtigterweise auf Zugangsdaten zugreifen.

Weitere Gefahren

Ferner sind noch weitere SAP-Anwendungen angreifbar. So können sich Angreifer etwa im Kontext von SAP ABAP Developer Tools höhere Nutzerrechte verschaffen (CVE-2026-58243 „hoch“) oder in SAP Commerce Cloud Informationen leaken (CVE-2026-2332 „hoch“).

Admins müssen im SAP-Supportbereich die für sie passenden, reparierten Versionen ausfindig machen und installieren.