Der Patch-Tuesday-Release von SAP für November behebt vier Schwachstellen mit maximalem Schweregrad, über die Angreifer Schadcode ausführen, die Authentifizierung umgehen oder sich unbefugten Zugriff auf Unternehmenssysteme verschaffen könnten.
Laut dem SAP-Sicherheitsbulletin vom 10. November veröffentlichte das Unternehmen 35 neue Sicherheitshinweise, vier GitHub-Advisories und drei Aktualisierungen bereits veröffentlichter Hinweise.
Die schwerwiegendsten Schwachstellen betreffen SAP NetWeaver, Web Dispatcher und Gateway – Komponenten, die für die Verarbeitung des Netzwerkverkehrs, die Authentifizierung von Benutzern und die Verbindung von Geschäftsanwendungen zuständig sind. Zwei davon könnten nicht authentifizierten Angreifern die entfernte Codeausführung auf gefährdeten Systemen ermöglichen.
Vier SAP-Schwachstellen erhalten maximale CVSS-Bewertungen
Alle vier Schwachstellen haben einen CVSS-Wert von 10,0 – die höchstmögliche Bewertung des Schweregrads.
| CVE | Betroffene Komponente | Schwachstelle | CVSS |
|---|---|---|---|
| CVE-2026-76964 | SAP NetWeaver AS ABAP (Internet Communication Manager) | Speicherbeschädigung | 10.0 |
| CVE-2026-89126 | SAP Web Dispatcher | Speicherbeschädigung | 10.0 |
| CVE-2026-89103 | SAP Gateway | Fehlerhafte Zugriffskontrolle | 10.0 |
| CVE-2026-120017 | SAP NetWeaver AS ABAP und ABAP Platform (SAML2 Service Provider) | Fehlende Authentifizierung | 10.0 |
Die beiden Schwachstellen zur Speicherbeschädigung, CVE-2026-76964 und CVE-2026-89126, betreffen die Verarbeitung des Netzwerkverkehrs durch SAP-Komponenten.
Laut der technischen Analyse von The Hacker News beinhalten beide eine fehlerhafte Verarbeitung von WebSocket-Steuerframes. Ein nicht authentifizierter Angreifer könnte speziell präparierte Anfragen senden, um eine Speicherbeschädigung auszulösen und möglicherweise beliebigen Code auszuführen.
CVE-2026-89103 zielt auf SAP Gateway ab, das die Kommunikation zwischen SAP-Anwendungen und verbundenen Systemen verwaltet. Unter bestimmten Konfigurationen könnten Angreifer vertrauenswürdige Anwendungsserver imitieren und unbefugte Aktionen ausführen.
CVE-2026-120017 betrifft unterdessen den SAML-2.0-Service-Provider für Single Sign-on. Fehlende Authentifizierungsprüfungen könnten es Angreifern ermöglichen, sich auf betroffenen Systemen als Benutzer auszugeben, darunter auch Benutzer mit privilegierten Konten.
Die Schwachstellen sind besonders bedenklich, weil sie Dienste betreffen, die die Kommunikation und den Zugriff in SAP-Umgebungen steuern.
Weitere kritische Schwachstellen betreffen SAP-Anwendungen
Neben den vier Schwachstellen mit maximalem Schweregrad behob SAP fünf weitere als kritisch eingestufte Schwachstellen.
Drei davon haben einen CVSS-Wert von 9,9:
- CVE-2026-109803: Code-Injection in der XML-Forms-Komponente von SAP NetWeaver Knowledge Management.
- CVE-2026-76965: Betriebssystembefehls-Injection im ABAP Application Server für SAP NetWeaver und ABAP Platform.
- CVE-2026-109795: Fehlende Autorisierungsprüfungen in S4CRM-Komponenten.
SAP behob außerdem eine als CVE-2026-89119 erfasste und mit 9,6 bewertete Cross-Site-Request-Forgery-Schwachstelle in Web Dispatcher und Internet Communication Manager. Der zugehörige Sicherheitshinweis verweist zusätzlich auf CVE-2026-120014.
Ein weiteres kritisches Problem, CVE-2026-109798, ist eine XML-External-Entity-Schwachstelle in der SAP BusinessObjects Business Intelligence Platform mit einem CVSS-Wert von 9,1.
Der Release folgt auf die SAP-Sicherheitsupdates vom Oktober, die eine kritische Code-Injection-Schwachstelle in S/4HANA sowie eine separate Schwachstelle zur Speicherbeschädigung in NetWeaver behoben.
SAP behob im Oktober außerdem eine kritische Schwachstelle im Cloud SDK, durch die Anmeldedaten von Anwendungen offengelegt werden könnten und verdeutlichte damit die Sicherheitsrisiken sowohl bei herkömmlichen SAP-Installationen als auch bei cloudverbundenen Anwendungen.
Was SAP-Administratoren zuerst patchen sollten
SAP empfiehlt Kunden, die Sicherheitshinweise zu prüfen und die verfügbaren Korrekturen vorrangig einzuspielen.
Sicherheits- und SAP-Basis-Teams sollten sich auf Folgendes konzentrieren:
- Betroffene Installationen identifizieren. Die NetWeaver-, Web-Dispatcher-, Gateway- und SAML2-Komponenten inventarisieren und anschließend die eingesetzten Versionen mit den Sicherheitshinweisen von SAP abgleichen.
- Exponierte Dienste priorisieren. Netzwerkzugängliche Schnittstellen von Web Dispatcher und Internet Communication Manager überprüfen, insbesondere solche, die ohne Authentifizierung erreichbar sind.
- Authentifizierung und Zugriffskontrollen prüfen. SAML2-Konfigurationen, vertrauenswürdige Identitätsanbieter und Zugriffskontrollregeln des Gateways untersuchen.
- Sicherheitsupdates einspielen. Kernel- und Anwendungspatches mit den SAP-Administratoren koordinieren und die Änderungen vor der Bereitstellung in der Produktion testen.
- Behebung verifizieren. Bestätigen, dass die betroffenen Komponenten korrigierte Versionen ausführen, und die relevanten Protokolle auf verdächtige Aktivitäten prüfen.
Die vier Schwachstellen mit maximalem Schweregrad entsprechen den SAP-Sicherheitshinweisen 3778530, 3778556, 3798345 und 3849308 in derselben Reihenfolge.
Wenn ein sofortiges Patchen nicht möglich ist, sollten Administratoren die von SAP dokumentierten Maßnahmen zur Risikominderung befolgen. Netzwerkbeschränkungen können dazu beitragen, die Angriffsfläche zu verringern, ersetzen jedoch nicht die erforderlichen Sicherheitsupdates. Für einige betroffene Komponenten gibt es keine dokumentierte Umgehungslösung.
Ein strukturierter Prozess für Patch- und Schwachstellenmanagement kann Unternehmen dabei helfen, exponierte Systeme zu priorisieren und gleichzeitig die Beeinträchtigung kritischer Geschäftsanwendungen zu minimieren.
Im öffentlichen Bulletin von SAP wird keine bestätigte aktive Ausnutzung der vier Schwachstellen mit maximalem Schweregrad gemeldet.
Die Kombination aus potenzieller entfernter Codeausführung, der Umgehung von Authentifizierungen und unbefugtem Systemzugriff macht den November-Release jedoch zu einer Priorität für die Sicherheitsteams von Unternehmen.
Vier perfekte Bewertungen reichen aus, um die Aufmerksamkeit aller zu gewinnen. Der eigentliche Test besteht darin, wie schnell Unternehmen die Gefährdung beseitigen können.
Weitere Nachrichten aus der Cybersicherheit Samsungs Sicherheitsupdate vom November 2026 behebt kritische Android-Schwachstellen und Galaxy-spezifische Fehler, darunter Schwachstellen, die die entfernte Codeausführung, den unbefugten Zugriff auf vertrauliche Informationen und weitere Sicherheitsverletzungen ermöglichen könnten.