LONDON (IT BOLTWISE) – SAP veröffentlicht Sicherheitsupdates, die eine Schwachstelle mit CVSS 10.0 schließen. Betroffen ist die Kernel-Logik zur Verarbeitung von Extended Passport (EPP) in SAP Extended Passport (EPP) Processing. Die Lücke kann auch ohne Authentifizierung aus der Ferne willkürliche OS-Kommandos mit SAP-Administrationsrechten ausführen. Zusätzlich behebt SAP weitere kritische Lücken in NetWeaver und SAP GUI for Java.
SAP adressiert mehrere kritisch bewertete Schwachstellen in seinem Software-Stack und priorisiert dabei eine Lücke mit maximaler Schwere: CVE-2026-44756 mit einem CVSS-Score von 10.0. Die Schwachstelle liegt in der Kernel-Verarbeitung von Extended Passport (EPP) und wird mit dem Namen OVERPASS geführt. Nach den Angaben in der Quelle handelt es sich um einen Fall von Memory Corruption, ausgelöst durch eine fehlende Boundary-Validierung beim Deserialisieren von EPP-Daten. Für Unternehmen ist das vor allem deshalb heikel, weil der Angriffsweg nicht an klassische Authentifizierungs- oder Rollensteuerung gekoppelt ist.
Technisch wird die Lücke als Remote-Code-Execution beschrieben, die ohne Authentifizierung funktioniert. Konkret soll ein Angreifer über präparierte Netzwerkanfragen einen fehlerhaften EPP-Header senden und dadurch einen Speicher-Sicherheitsfehler sowie unbeabsichtigtes Verhalten bis hin zu abnormaler Programmbeendigung auslösen können. Der Übernahmehebel liegt dabei in der Kernel-Nachbearbeitung: Was im deserialisierten Datenfluss kippt, wirkt anschließend auf den Prozesskontext, der die EPP-Struktur verarbeitet. „OVERPASS is a flaw in the SAP kernel code that processes this structure. A specially-crafted request sent to an affected system can be abused to take control of the receiving process and, from there, run operating system commands on the host, “ sagt JP Perez-Etchegoyen, CTO bei Onapsis.
Die Reichweite dieser Kernel-Komponente macht das Patch-Rollout zu einem koordinierten Projekt statt zu einem reinen Update in der Applikationsschicht. EPP-Processing gilt als gemeinsam genutzter Kernel-Code, der laut Quelle über mehrere Protokolle erreichbar ist: von einer internetfähigen Web-Schicht, über SAP GUI-Zugriffspfade, die jeder Endnutzer nutzt, bis in die RFC-Schicht, die SAP-Systeme untereinander verbindet. Dazu kommt, dass mehrere SAP-Komponenten und Kommunikationsprotokolle betroffen sind, ohne dass Credentials erforderlich wären. Genau deshalb sehen die Empfehlungen in der Quelle auch keine „Single Control“ als vollständige Risikominderung: Wer nur Netzwerksegmente oder einzelne Eintrittspunkte nachzieht, kann die Angriffsfläche trotzdem offen lassen.
Im Erfolgsfall reicht eine Ausnutzung nicht nur für Datenabfragen, sondern zielt auf eine komplette Kompromittierung von SAP-relevanten Daten und Prozessen. Die Quelle beschreibt, dass ein Angreifer damit das SAP Secure Store auslesen kann, um Datenbankzugangsdaten, Passwort-Hashes und die darin verwalteten Geschäftsdaten zu extrahieren. Ebenso kann er Live-Session-Daten eingeloggter Nutzer lesen, gespeicherte Credentials abgreifen und sich anschließend lateral in andere SAP-Systeme bewegen. Darüber hinaus nennt der Text die Möglichkeit, Anwendungsdaten, Systemkonfiguration und sogar SAP-Binärdateien zu verändern. „One point is worth stating plainly: SAP authorizations and Segregation of Duties (SoD) controls will not help. The vulnerable code runs before any authentication step, so locking users, tightening roles, enforcing password policies or restricting transaction access has no effect on this attack path, “ heißt es in der zitierten Einschätzung von Perez-Etchegoyen.
Während OVERPASS den Schwerpunkt mit der höchsten Bewertung setzt, ergänzt SAP das Update-Paket um weitere Lücken mit ebenfalls hoher Kritikalität. CVE-2026-58240 adressiert eine fehlende Authentifizierungsprüfung im SAP NetWeaver Message Server und erhält einen CVSS-Score von 9.8; Onapsis ordnet diese Lücke unter dem Namen S4GET ein. Laut der Quelle handelt es sich dabei nicht um eine Fehlkonfiguration, sondern um einen Logikfehler, der in SAP-9.x-Kernel-Linien enthalten sein soll, auf denen SAP S/4HANA sowie SAP S/4HANA Cloud Private Edition laufen, und der potenziell auch andere ABAP-basierte Produkte betrifft. „S4GET is a logic flaw, not a misconfiguration, “ wird von Pablo ‘Partu’ Agustin Artuso zitiert. Auch hier ist die Besonderheit die Erreichbarkeit: Die Quelle beschreibt, dass die Schwachstelle über denselben öffentlichen Port triggerbar ist, über den SAP GUI-Clients typischerweise ihr Login durchführen.
Daneben nennt die Quelle zwei weitere kritische Schwachstellen, die ebenfalls gepatcht werden müssen: CVE-2026-76969 (CVSS 9.4) betrifft eine Credential-Disclosure in Multi-Tenant-Umgebungen, die das SAP Cloud Application Programming Model (CAP) nutzen. Unauthentifizierte Angreifer sollen demnach über speziell gestaltete Requests an sensible Credentials gelangen, um damit Tenant-Daten zu ersetzen oder zu löschen. Zusätzlich wird CVE-2026-66768 (CVSS 9.0) genannt, eine unzureichende Zugriffskontrolle in SAP NetWeaver SAP GUI for Java, die dem Angreifer die Ausführung beliebiger Kommandos auf dem Host ermöglichen kann. Wichtig ist dabei die Einordnung: In der Quelle heißt es, dass derzeit keine Ausnutzung bekannt sei, aber aufgrund der Kritikalität „immediate attention“ nötig sei; Onapsis empfiehlt entsprechend, alle SAP-Systeme zu inventarisieren, internetfähige Instanzen zuerst zu patchen, die Exposition zu reduzieren und Anzeichen von Exploitation aktiv zu überwachen.
Für die operative Sicherheit bedeutet das Update-Paket vor allem, dass Schutzkonzepte an der richtigen Stelle greifen müssen. Wenn kritischer Code bereits vor Authentifizierungsschritten angreift, können Segregation-of-Duties-Regeln, Rollenhärtung oder Passwort-Policies den Kernmechanismus nicht neutralisieren. Praktisch heißt das: Unternehmen sollten Patch-Verfügbarkeit gegen den eigenen Systembestand und die verschiedenen Erreichbarkeitszonen (Web-, GUI-, RFC-Pfade) abgleichen und die Rollouts so planen, dass die potenziellen Triggerpfade möglichst früh geschlossen werden. Parallel zur Softwareaktualisierung ist es sinnvoll, Telemetrie auf Abweichungen zu erweitern, die zu den beschriebenen Ablaufmustern passen, etwa ungewöhnliche Request-Sequenzen an EPP-nahe Schnittstellen oder Prozesse, die nach einer erfolgreichen Ausnutzung auf dem SAP-Host neue Kommandos ausführen. Die Quelle betont zudem, dass Sichtbarkeit in der SAP-Anwendungsebene entscheidend ist, damit Versuche erkannt und auch während des Rollouts untersucht werden können.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SAP stopft CVE-2026-44756 (CVSS 10.0) und weitere kritische Lücken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SAP stopft CVE-2026-44756 (CVSS 10.0) und weitere kritische Lücken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SAP stopft CVE-2026-44756 (CVSS 10.0) und weitere kritische Lücken« bei Google Deutschland suchen, bei Bing oder Google News!