SAP schließt kritische Lücken in NetWeaver und S/4HANA

SAP hat zu seinem Security Patch Day im Oktober 2026 22 neue und aktualisierte Sicherheitshinweise veröffentlicht. Vier davon betreffen Schwachstellen, die als kritisch eingestuft sind. Die Korrekturen betreffen das Cloud SDK für Python, NetWeaver Visual Composer, S/4HANA und Manufacturing Integration and Intelligence.

Der deutsche Hersteller von Unternehmenssoftware hat die Hinweise am Dienstag veröffentlicht. Hinweise darauf, dass eine der Lücken bereits aktiv ausgenutzt wird, gibt es von SAP nicht.

Lücke mit Höchstwertung im Cloud SDK für Python

Das gravierendste Problem ist CVE-2026-89111 mit einem CVSS-Wert von 10/10. Es handelt sich um eine Server-Side-Request-Forgery-Lücke (SSRF) in der OAuth2-Verarbeitung von SAPs Cloud SDK für Python. Betroffen sind mandantenfähige Anwendungen, die auf BTP laufen, der Business Technology Platform von SAP.

SAP beschreibt das Problem in einem Sicherheitshinweis auf GitHub: "Ein Angreifer, der den Parameter tenant_subdomain kontrolliert, kann OAuth2-Token-Anfragen an einen von ihm kontrollierten Server umleiten, wodurch Client-Zugangsdaten abfließen."

Wer diesen einen Parameter manipuliert, kann also Token-Anfragen auf eigene Infrastruktur umleiten und die Client-Zugangsdaten abgreifen, mit denen sich die Anwendung authentifiziert.

Visual Composer und S/4HANA

Der zweite kritische Fehler, CVE-2026-89110 (CVSS-Wert 9,9/10), ist eine fehlerhafte Zugriffskontrolle in Portalfunktionen von NetWeaver Visual Composer. NetWeaver ist die Technologieplattform, auf der viele SAP-Geschäftsanwendungen aufbauen.

Laut dem auf die Sicherheit von Unternehmensanwendungen spezialisierten Unternehmen Onapsis könnte die Lücke es "einem Angreifer mit geringen Berechtigungen ermöglichen, interne Operationen auf einem vorkonfigurierten Remote-System aufzurufen". Eine Ausnutzung könnte zur vollständigen Kompromittierung dieses Remote-Systems führen.

CVE-2026-89107, ebenfalls mit 9,9/10 bewertet, ist eine Code-Injection-Lücke in S/4HANA, der ERP-Suite von SAP. Authentifizierte Angreifer könnten darüber beliebigen ABAP-Code ausführen, also Code in der Programmiersprache, die SAP in seiner gesamten Unternehmenssoftware einsetzt.

Nach Angaben von Onapsis liegt die Ursache im Prozess zur Regeldefinition, der Eingaben nicht ausreichend prüft. Ein Angreifer mit einer bestimmten Geschäftsrolle in den Fiori-Anwendungen, der webbasierten Benutzeroberfläche von SAP, kann manipulierte Eingaben übermitteln und so möglicherweise das verwundbare System übernehmen.

Admin-Konten in MII

Die vierte kritische Schwachstelle ist CVE-2026-89108 (CVSS-Wert 9,1/10), eine fehlende Berechtigungsprüfung in Manufacturing Integration and Intelligence (MII).

Ein Angreifer, der bereits über XMII-Admin-Rechte verfügt, könnte damit ein Administratorkonto auf dem zugrunde liegenden Java-Applikationsserver anlegen. Von dort aus ließe sich das System vollständig kompromittieren.

Korrekturen mit hohem Schweregrad

Das Oktober-Paket enthält außerdem Korrekturen für Fehler mit hohem Schweregrad in Commerce Cloud, NetWeaver und der ABAP-Plattform. Je nach Lücke könnten Angreifer beliebige SQL-Befehle einschleusen, einen Prozess zum Absturz bringen oder Beschränkungen umgehen.

SAP rät seinen Kunden, die Updates so schnell wie möglich einzuspielen.

Warum das wichtig ist

In SAP-Systemen stecken oft die Daten und Prozesse, auf die Unternehmen am meisten angewiesen sind: Finanzen, Lieferketten, Fertigung und Kundendaten. Viele dieser Lücken setzen eine Authentifizierung oder eine bestimmte Rolle voraus. Das sollte man nicht als geringes Risiko verstehen. Konten mit wenigen Rechten und Geschäftsrollen sind in großen Organisationen weit verbreitet und können per Phishing abgegriffen, mehrfach verwendet oder von Innentätern missbraucht werden. In diesem Fall können sie ausreichen, um ein System zu übernehmen.

Der Fehler im Cloud SDK sticht heraus, weil er auf Zugangsdaten zielt statt auf Codeausführung. In mandantenfähigen Cloud-Umgebungen könnten gestohlene Client-Zugangsdaten einem Angreifer einen Fuß in der Tür verschaffen, der schwerer zu bemerken ist als ein abgestürzter Server. Teams, die BTP-Anwendungen auf Basis des Python-SDK betreiben, sollten prüfen, welche Version sie einsetzen und ob Mandanteneingaben in Token-Anfragen gelangen.

Die Veröffentlichung fällt in eine ohnehin volle Patch-Woche. Sie folgt auf Microsofts Oktober-Patchday und eine große Zahl von ICS-Sicherheitshinweisen von Siemens und Rockwell. Damit stellt sich wieder das bekannte Problem der Priorisierung. Geschäftsanwendungen werden wegen Tests und Verfügbarkeitsanforderungen oft langsamer gepatcht als Endgeräte. Was ein verpasstes Update kosten kann, hat sich erst kürzlich gezeigt, als ein ausgelassener PeopleSoft-Patch für einen großen Datenabfluss verantwortlich gemacht wurde.

Berichte über Angriffe gibt es bislang nicht. Es lohnt sich zu beobachten, ob in den kommenden Wochen technische Analysen oder Proof-of-Concept-Code auftauchen, denn das verkürzt oft die Zeit, die Verteidigern zum Patchen bleibt.