SAP behebt Kernel-Schwachstelle „OVERPASS“ mit höchstem Schweregrad und möglicher Speicherbeschädigung

SAP hat am 8. September 2026 im Rahmen der Sicherheitsupdates für September 2026 eine Kernel-Schwachstelle mit höchstem Schweregrad bekannt gegeben, die als OVERPASS bezeichnet wird. Die Veröffentlichung behebt 20 Schwachstellen in mehreren SAP-Produkten.

OVERPASS wird als Problem mit Speicherbeschädigung in einer SAP-Kernel-Komponente eingestuft. SAP hat die Schwachstelle mit seinen Sicherheitsupdates behoben. Wesentliche Informationen zur Bereitstellung sind jedoch weiterhin nicht verfügbar. Dazu gehören die betroffenen Produkte, die anfälligen Kernel-Versionen, die korrigierten Releases und die CVE-Kennung.

Außerdem gibt es keine bestätigten Informationen zu Angriffen in freier Wildbahn, öffentlich verfügbarem Proof-of-Concept-Code, den Voraussetzungen für einen Angriff oder den konkreten Auswirkungen, die ein Angreifer erzielen könnte.

Kernel-Schwachstelle mit potenziell weitreichenden Folgen

Der SAP-Kernel stellt zentrale Laufzeitfunktionen für SAP-Umgebungen bereit. Eine Schwachstelle zur Speicherbeschädigung in einer solchen Komponente kann daher eine grundlegende Ebene und nicht nur eine isolierte Anwendungsfunktion betreffen.

Zu einer Speicherbeschädigung kommt es, wenn Software Speicher fehlerhaft liest, beschreibt, reserviert oder freigibt. Je nach zugrunde liegendem Fehler und den vorhandenen Schutzmechanismen können die Folgen von einem Absturz des Prozesses bis hin zur Manipulation der Programmausführung reichen.

Für OVERPASS wurde der genaue Mechanismus der Speicherbeschädigung jedoch nicht veröffentlicht. Es ist nicht bekannt, ob die Schwachstelle auf einem Pufferüberlauf, einer Use-after-free-Situation, einem Zugriff außerhalb der gültigen Speichergrenzen, einer ungültigen Zeigeroperation oder einer anderen Verletzung der Speichersicherheit beruht.

Die Einstufung mit höchstem Schweregrad zeigt, dass SAP das Risiko als außergewöhnlich schwerwiegend bewertet. Allein diese Einstufung sagt jedoch nichts über den Angriffsweg oder die letztendlichen Auswirkungen aus.

Die verfügbaren Informationen bestätigen nicht, ob eine erfolgreiche Ausnutzung Folgendes ermöglichen könnte:

• Ausführung beliebigen Codes
• Rechteausweitung
• Offenlegung von Informationen
• Umgehung der Authentifizierung
• Manipulation von Daten
• Verweigerung von Diensten
• Vollständige Übernahme aus der Ferne

Der Fundort der Schwachstelle im Kernel macht schwerwiegende Folgen plausibel. Ohne die technische Dokumentation von SAP sollten sie jedoch nicht als bestätigt gelten.

Betroffene Produkte und Versionen sind bislang nicht bekannt

Für Verteidiger ist das Fehlen einer verifizierten Übersicht der betroffenen Produkte die größte Informationslücke. Das SAP-Release für September 2026 umfasst mehrere Produkte, doch die konkreten Anwendungen, die einen anfälligen OVERPASS-Kernel verwenden, wurden nicht genannt.

Auch die betroffenen und korrigierten Kernel-Release-Zweige sind unbekannt. Genaue Versionsbereiche, Paketkennungen, Build-Nummern oder Bereitstellungskonfigurationen liegen nicht vor.

Dadurch können Administratoren die Betroffenheit nicht allein anhand der öffentlichen Beschreibung feststellen. Unternehmen müssen die SAP-Sicherheitsinformationen für September 2026 heranziehen und ihren Bestand an installierter Software mit den vom Hersteller genannten betroffenen Versionen abgleichen.

Die CVE-Kennung wurde in den verfügbaren Angaben nicht veröffentlicht. Ohne diese Kennung können Schwachstellenteams Schwierigkeiten haben, OVERPASS in Scannern, Asset-Management-Plattformen, Ticketsystemen und Threat-Intelligence-Feeds abzugleichen.

Administratoren sollten nicht davon ausgehen, dass ein SAP-System ungefährdet ist, nur weil ein Scanner keine passende CVE meldet. Die Erkennung kann von Produkt- und Versionsdaten abhängen, die in gängigen Sicherheitstools derzeit noch nicht verfügbar sind.

Ausnutzbarkeit und aktive Angriffe weiterhin unbestätigt

Es gibt keine verifizierten Belege dafür, dass Angreifer OVERPASS in freier Wildbahn ausnutzen. Es wurden keine Angreifer, Malware-Familien, Exploit-Artefakte, Command-and-Control-Infrastrukturen oder Indicators of Compromise mit der Schwachstelle in Verbindung gebracht.

Ebenso ist unbekannt, ob Exploit-Code privat oder öffentlich veröffentlicht wurde. Die verfügbaren Informationen erläutern nicht, ob ein Angreifer Folgendes benötigen würde:

• Netzwerkzugriff auf einen SAP-Dienst
• Ein authentifiziertes SAP-Konto
• Erweiterte Anwendungsrechte
• Lokalen Zugriff auf das Betriebssystem
• Eine Aktion durch einen Administrator oder Benutzer
• Eine bestimmte Konfiguration oder eine exponierte Schnittstelle

Diese Unterschiede sind entscheidend. Eine aus der Ferne ausnutzbare Kernel-Schwachstelle ohne erforderliche Authentifizierung würde eine andere Reaktion erfordern als eine Schwachstelle, die nur für einen lokal angemeldeten Benutzer mit erweiterten Rechten erreichbar ist. Der höchste Schweregrad von OVERPASS erfordert schnelles Handeln, beantwortet diese technischen Fragen jedoch nicht.

Es liegen keine Informationen vor, die bestätigen, dass OVERPASS im Katalog der bekannten ausgenutzten Schwachstellen der US Cybersecurity and Infrastructure Security Agency aufgeführt ist. Daher gibt es kein bestätigtes Aufnahmedatum und keine von CISA festgelegte Frist zur Behebung zu vermelden.

SAP-Administratoren sollten Inventarisierung und Patching priorisieren

Unternehmen mit SAP-Umgebungen sollten zunächst die SAP-Sicherheitsdokumentation für September 2026 prüfen und Systeme identifizieren, die die betroffenen Kernel-Zweige verwenden. Da die relevanten Versionen hier nicht öffentlich bekannt sind, sind genaue interne Inventardaten von entscheidender Bedeutung.

Sobald die Betroffenheit bestätigt ist, sollten Administratoren die vom Hersteller bereitgestellten SAP-Korrekturen so schnell einspielen, wie es die betrieblichen Tests erlauben. Priorität sollten Systeme mit Internetzugang, Plattformen zur Unterstützung kritischer Geschäftsprozesse sowie Umgebungen haben, in denen privilegierte Identitäten oder sensible Datensätze verarbeitet werden.

Updates des SAP-Kernels können zentrale Dienste, Anwendungsinstanzen und davon abhängige Betriebsabläufe beeinträchtigen. Unternehmen sollten die Behebung daher zwischen SAP-Administration, Infrastrukturteams, Anwendungsverantwortlichen und Security-Operations-Personal koordinieren, anstatt die Korrektur wie einen gewöhnlichen Endpoint-Patch zu behandeln.

Bis die Updates eingespielt sind, können Unternehmen das Risiko durch folgende Maßnahmen reduzieren:

1. Unnötigen Netzwerkzugriff auf SAP-Dienste einschränken.
2. Administrative Konten und Konten mit erweiterten Rechten auf freigegebene Benutzer und Verwaltungswege beschränken.
3. Von außen erreichbare SAP-Schnittstellen überprüfen und unbeabsichtigte Erreichbarkeit beseitigen.
4. Die Protokollierung von Authentifizierung, Konfigurationsänderungen und Vorgängen mit erweiterten Rechten verstärken.
5. Anwendungs- und Kernel-Prozesse auf Abstürze oder ungewöhnliche Neustarts überwachen.
6. Nach unerwartetem Prozessverhalten, nicht autorisierten Änderungen und ungeklärten Dienstunterbrechungen suchen.
7. Relevante Protokolle sichern, sobald verdächtige Aktivitäten festgestellt werden.

Diese Maßnahmen sind defensive Vorsichtsmaßnahmen und keine vom Hersteller bestätigten Workarounds. Es wurde keine konkrete Konfigurationsänderung oder kompensierende Maßnahme identifiziert, die eine Ausnutzung vollständig verhindert.

Die Veröffentlichung ist Teil eines umfangreicheren SAP-Sicherheitsupdates

OVERPASS ist eine von 20 Schwachstellen, die in den Sicherheitsupdates für September 2026 in mehreren SAP-Produkten behoben werden. Aufgrund dieses umfangreicheren Updates sollten Sicherheitsteams ihre Prüfung nicht auf die Kernel-Schwachstelle beschränken.

Befunde mit höchstem Schweregrad erhalten naturgemäß sofortige Aufmerksamkeit. Andere Schwachstellen desselben Update-Zyklus können jedoch andere Produkte betreffen oder Angreifern nützliche Einstiegspunkte bieten. Ein Unternehmen könnte OVERPASS beheben und über eine andere betroffene SAP-Komponente weiterhin angreifbar sein.

Die unmittelbare Herausforderung besteht in der Unsicherheit. SAP hat eine Korrektur veröffentlicht, doch die öffentlich verfügbaren Informationen zu OVERPASS zeigen nicht, welche konkreten Installationen anfällig sind oder wie ein Angreifer die Schwachstelle erreichen könnte.

Bis diese Details verifiziert sind, sollten Verteidiger das Problem als Aufgabe mit hoher Priorität zur Identifizierung betroffener Systeme und zum Patch-Management behandeln. Die derzeit wirksamste Maßnahme besteht darin, die SAP-Sicherheitsinformationen für September 2026 zu konsultieren, die betroffenen Releases des Herstellers mit den eingesetzten Kernel-Versionen abzugleichen und bestätigte Betroffenheit zu beheben, ohne auf erste Angriffe zu warten.