Eine Schwachstelle in SAP-Software könnte es einem Benutzer mit legitimen Zugriffsrechten ermöglichen, deutlich mehr Kontrolle über ein Unternehmenssystem zu erlangen als vorgesehen.
Die Sicherheitsupdates von SAP vom 13. Oktober beheben eine kritische Code-Injection-Schwachstelle in S/4HANA sowie eine separate hochriskante Schwachstelle durch Speicherbeschädigung, die NetWeaver und Web Dispatcher betrifft.
Für Unternehmen, die betroffene Systeme einsetzen, hängt das Ausmaß der Gefährdung davon ab, wie die Software konfiguriert ist und wer auf die verwundbaren Komponenten zugreifen kann.
Eingaben für Geschäftsregeln könnten nicht autorisierten Code ausführen
CVE-2026-89107, eine mit 9,9 nach CVSS als kritisch eingestufte Schwachstelle, betrifft die Funktion zum Verwalten von Ersetzungs- und Validierungsregeln in S/4HANA. Laut der Patch-Analyse von Onapsis könnte eine unzureichende Eingabevalidierung dazu führen, dass speziell präparierte Regeld definitionen beliebigen ABAP-Code ausführen.
Für eine Ausnutzung ist ein authentifiziertes Konto mit einer bestimmten SAP-Fiori-Geschäftsrolle erforderlich. Angreifer mit diesen Berechtigungen könnten möglicherweise die vollständige Kontrolle über das betroffene System erlangen.
Die S4CORE-Versionen 105 bis 109 sind verwundbar. SAP hat die Schwachstelle in der Security Note 3805589 behoben.
Speicherbeschädigung könnte SAP-Dienste ohne Authentifizierung beeinträchtigen
Eine separate Schwachstelle, CVE-2026-58249, betrifft den von NetWeaver und Web Dispatcher verwendeten Internet Communication Manager. Die mit 7,5 nach CVSS bewertete Schwachstelle beruht auf einer unzureichenden Validierung von Netzwerkanfragen, die Speicherfehler auslösen und einen betroffenen Prozess zum Absturz bringen können.
Angreifer benötigen keine gültigen Anmeldedaten, allerdings muss die Zielinstallation HTTP/2 unterstützen und das Protokoll aktiviert haben. Ein daraus resultierender Denial-of-Service-Angriff könnte den Zugriff auf SAP-Anwendungen unterbrechen, auf die Beschäftigte bei ihrer täglichen Arbeit angewiesen sind.
Das Sicherheitsbulletin vom Oktober nennt die betroffenen Kernel- und Web-Dispatcher-Komponenten sowie den SAP Content Server und bestimmte HANA-Anwendungsdienste. Die Security Note 3765424 beschreibt die Behebung.
Wie SAP-Administratoren die Behebung priorisieren sollten
Wenn Sie S/4HANA-, NetWeaver- oder Web-Dispatcher-Installationen verwalten, sollte der höchste CVSS-Wert nicht automatisch bestimmen, welches System zuerst gepatcht wird. Eine wirksame Priorisierung von Schwachstellen berücksichtigt auch, ob Angreifer einen Dienst erreichen können und wie schwerwiegend die Folgen eines Ausfalls wären.
SAP-Basisadministratoren und unternehmensweite Sicherheitsteams sollten ihre Reaktion anhand mehrerer Prüfungen koordinieren.
- Betroffene Installationen identifizieren. Vergleichen Sie die installierten S4CORE-Releases und relevanten internetseitig erreichbaren Komponenten mit den Security Notes. Beziehen Sie gegebenenfalls verbundene Dienste ein und stellen Sie fest, welche Systeme tatsächlich aktualisiert werden müssen, bevor Sie Wartungsarbeiten einplanen.
- Berechtigungen für Geschäftsregeln überprüfen. Ermitteln Sie, welche Konten zum Verwalten von Ersetzungs- und Validierungsregeln berechtigt sind, prüfen Sie die jüngsten Änderungen auf verdächtige Aktivitäten und entfernen Sie nicht erforderliche Berechtigungen. Vorhandene Kontrollen für privilegierte Zugriffe sollten sensible Rollen auf Anwendungsebene berücksichtigen.
- HTTP/2-Exposition prüfen. Ermitteln Sie, welche betroffenen Dienste Verbindungen aus nicht vertrauenswürdigen Netzwerken akzeptieren. Beschränken Sie unnötigen Zugriff, während Sie die Behebung vorbereiten – insbesondere dort, wo ein Ausfall der Anwendung wichtige Geschäftsabläufe unterbrechen könnte.
- Workarounds und Patch-Tests koordinieren. Die Deaktivierung des betroffenen OData-Dienstes ist laut Onapsis ein vorübergehender Workaround für die S/4HANA-Schwachstelle. Dadurch wird verhindert, dass legitime Benutzer über die zugehörigen Fiori-Anwendungen Ersetzungs- und Validierungsregeln hinzufügen, ändern oder löschen. Klären Sie die geschäftlichen Auswirkungen mit den Verantwortlichen für die Anwendungen und befolgen Sie einen Patch-Management-Prozess mit Tests vor und nach der Bereitstellung.
Systeme, die nicht sofort aktualisiert werden können, sollten einen zugewiesenen Verantwortlichen, dokumentierte vorübergehende Schutzmaßnahmen und einen geplanten Folgetermin haben. Werden diese Entscheidungen nicht getroffen, kann sich die Gefährdung noch lange verlängern, nachdem ein Sicherheitsfix verfügbar geworden ist.
Weitere Nachrichten zur Cybersicherheit: Nutzer des SAP Cloud SDK sind dem Risiko einer Offenlegung von Zugangsdaten ausgesetztdurch eine kritische Schwachstelle, für deren Behebung möglicherweise mehr als eine routinemäßige Patch-Prüfung erforderlich ist.