Patchday SAP: Angreifer können Systeme übernehmen

Mehrere Sicherheitslücken in Business-Software von SAP gefährden geschäftliche Informationen. Angreifer können sich unter anderem Zugriff auf eigentlich abgeschottete Daten verschaffen. Sicherheitspatches stehen zum Download bereit. Insgesamt hat SAP 16 neue Sicherheitshinweise und 4 GitHub-Advisories veröffentlicht.

Die gefährlichsten Lücken

Wie aus dem Sicherheitsbereich der SAP-Website hervorgeht, gelten vier Schwachstellen als „kritisch“. Für eine Lücke (CVE-2026-89111) in SAP Cloud SDK for Python gilt der maximale CVSS-Score 10 von 10. An dieser Stelle können Angreifer auf einem nicht näher beschriebenen Weg im Kontext von OAuth2 den tenant_subdomain-Parameter manipulieren.

Da das SDK diesen Wert aufgrund eines Fehlers ungeprüft in die URL für die Tokenanfrage einbaut, wird die Anwendung gezwungen, die eigenen Client Credentials (Geheimnisse) an einen vom Angreifer kontrollierten Server zu senden. Mit diesen Zugangsdaten erhält er Zugriff auf alle Ressourcen, für die die Anwendung berechtigt ist (z. B. Daten in S/4HANA, SuccessFactors oder anderen BTP-Diensten). Dagegen soll SAP Cloud SDK for Python 0.45.2 gerüstet sein.

Aufgrund einer fehlerhaften Zugriffskontrolle können Angreifer mit niedrigen Nutzerrechten unbefugt auf SAP NetWeaver Visual Composer zugreifen und Systeme komplett übernehmen (CVE-2026-89110 „kritisch“). Sind Angreifer angemeldet, können sie mit präparierten Anfragen Fehler in SAP S/4HANA auslösen und so Schadcode ausführen (CVE-2026-89107 „kritisch“). Nutzen Angreifer eine Lücke (CVE-2026-89108 „kritisch“) in SAP Manufacturing Integration and Intelligence erfolgreich aus, können sie als Admin Systeme kompromittieren.

Weitere Gefahren

Weiterhin sind unter anderem SAP Commerce Cloud, SAP NetWeaver mit SAP Web Dispatcher und SAP ABAP Platform verwundbar. Bislang gibt es vom Softwarehersteller keine Hinweise, dass Angreifer die Sicherheitslücken bereits ausnutzen. Das kann sich aber schnell ändern, sodass Admins zeitnah reagieren und die Patches installieren sollten.