SAP hat für den Security Patch Day im Oktober 2026 22 neue und aktualisierte Sicherheitshinweise veröffentlicht. Darunter sind vier kritische Schwachstellen in SAP Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA sowie Manufacturing Integration and Intelligence.
Die Veröffentlichung wurde an einem Dienstag angekündigt, wie aus dem Bericht von SecurityWeek hervorgeht. SAP rät Kunden, die Updates so schnell wie möglich einzuspielen.
Die verfügbaren Schwachstellenmeldungen nennen die betroffenen Komponenten, geben aber keine betroffenen oder korrigierten Versionsbereiche an. Administratoren sollten deshalb die einschlägigen SAP-Sicherheitshinweise heranziehen, um die Gefährdung jedes eingesetzten Releases zu bestimmen. Eine nicht aufgeführte Version sollte nicht als sicher gelten.
OAuth2-Anfragen können Client-Zugangsdaten preisgeben
Die schwerwiegendste Lücke, CVE-2026-89111, ist eine Server-Side-Request-Forgery-Schwachstelle in SAP Cloud SDK for Python, die Multi-Tenant-BTP-Anwendungen betrifft.
Ein Angreifer, der den Parameter tenant_subdomain kontrollieren kann, kann OAuth2-Token-Anfragen auf einen Server umleiten, den er selbst kontrolliert. Dadurch können die Client-Zugangsdaten offengelegt werden, die in diesen Anfragen verwendet werden.
Die Schwachstelle ist als CWE-918 eingestuft und hat einen CVSS-3.1-Wert von 10,0. Der Vektor lautet:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
Für die Ausnutzung ist Netzwerkzugriff erforderlich, aber weder ein Konto noch eine Benutzerinteraktion. Der Vektor stuft die Angriffskomplexität als niedrig ein und weist auf hohe mögliche Auswirkungen auf Vertraulichkeit und Integrität hin, ohne direkte Auswirkung auf die Verfügbarkeit.
NetWeaver-Lücke erreicht vorkonfigurierte Remote-Systeme
CVE-2026-89110 betrifft Portalfunktionen in SAP NetWeaver Visual Composer. Unzureichende Berechtigungsprüfungen erlauben einem Angreifer mit niedrigen Rechten, interne Operationen auf einem vorkonfigurierten Remote-System aufzurufen.
Die tatsächlichen Auswirkungen hängen von der Konfiguration der Remote-Verbindung ab. Bei Konfigurationen, die ausreichend mächtige Operationen offenlegen, könnte die Ausnutzung zur vollständigen Kompromittierung des verbundenen Systems führen, mit Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Die Schwachstelle ist als CWE-749 eingestuft und hat einen CVSS-3.1-Wert von 9,9:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Sie ist aus der Ferne mit geringer Komplexität ausnutzbar und erfordert niedrige Rechte, aber keine Aktion eines anderen Benutzers.
Manipulierte S/4HANA-Regeln können zu ausführbarem ABAP-Code werden
Die S/4HANA-Schwachstelle, CVE-2026-89107, ist ein Fehler bei der Eingabevalidierung in Manage Substitution/Validation Rules.
Die betroffene Funktion zur Definition von Regeln verarbeitet eine domänenspezifische Skriptsprache. Ein authentifizierter Angreifer mit den erforderlichen Geschäftsberechtigungen kann manipulierte Eingaben übermitteln, die die Regelverarbeitung als ausführbaren ABAP-Code interpretiert. Eine erfolgreiche Ausnutzung kann zur beliebigen Ausführung von ABAP-Code und zur vollständigen Kompromittierung des betroffenen Systems führen.
CVE-2026-89107 ist als CWE-94 eingestuft und hat einen CVSS-3.1-Wert von 9,9:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Der Angriff erfordert Netzwerkzugriff, niedrige Rechte entsprechend der jeweiligen Geschäftsrolle und keine Benutzerinteraktion.
MII-Administratoren können in den Java-Anwendungsserver eskalieren
CVE-2026-89108 betrifft fehlende Durchsetzung von Berechtigungen in Verwaltungsfunktionen von SAP Manufacturing Integration and Intelligence.
Ein Angreifer, der bereits MII-Administratorrechte besitzt, kann eine manipulierte Anfrage senden, die ein Konto mit erweiterten Rechten auf dem zugrunde liegenden Java-Anwendungsserver anlegt. Dadurch wird die Berechtigungsgrenze der Anwendung überschritten, und der Angreifer kann die administrative Kontrolle über das darunterliegende System erlangen.
Die Schwachstelle ist als CWE-862 eingestuft und hat einen CVSS-3.1-Wert von 9,1:
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Anders als bei den übrigen kritischen Lücken setzt die Ausnutzung hohe Rechte voraus. Ihre kritische Einstufung spiegelt das Potenzial wider, die Kontrolle über MII hinaus auszuweiten und Vertraulichkeit, Integrität und Verfügbarkeit des zugrunde liegenden Servers zu gefährden.
Weitere Korrekturen und Stand der Ausnutzung
SAP hat außerdem Schwachstellen mit hohem Schweregrad in Commerce Cloud, NetWeaver und ABAP Platform behoben. Die gemeldeten Folgen dieser Korrekturen umfassen SQL-Injection, Prozessabstürze und Umgehungen von Einschränkungen. Die verfügbaren Berichte ordnen diesen Problemen weder CVE-Kennungen noch einzelne Schweregrade zu.
SecurityWeek berichtet, dass das Material von SAP keine aktive Ausnutzung der neu behobenen Schwachstellen erwähnt. Das heißt jedoch nicht, dass keine Ausnutzung stattgefunden hat. CVSS-Werte beschreiben die technische Schwere und die Angriffsbedingungen, sie belegen aber nicht, ob reale Angriffe erfolgt sind.
Administratoren sollten die SAP-Updates priorisieren, Multi-Tenant-BTP-Anwendungen mit SAP Cloud SDK for Python identifizieren, den Zugriff mit niedrigen Rechten auf NetWeaver Visual Composer prüfen und die einschlägigen S/4HANA-Geschäftsrollen sowie die MII-Administratorrechte auf die Benutzer beschränken, die sie benötigen. Auch die Remote-Systemkonfigurationen, die mit Visual Composer verbunden sind, sollten geprüft werden, da sie die mögliche Reichweite von CVE-2026-89110 bestimmen. Diese Zugriffskontrollen können die Gefährdung während des Patchens verringern, ersetzen aber nicht die Korrekturen des Herstellers.
