LONDON (IT BOLTWISE) – SAP veröffentlicht Sicherheitsupdates gegen mehrere schwerwiegende Lücken, darunter eine CVSS-10.0-Kernel-Schwachstelle in der Verarbeitung von Extended Passport-Daten. Die Lücke mit dem Namen OVERPASS (CVE-2026-44756) lässt sich laut Beschreibung auch ohne Authentifizierung aus der Ferne ausnutzen und kann auf dem SAP-Host beliebige Betriebssystembefehle mit SAP-Administrationsrechten ausführen. Zusätzlich stopft SAP unter anderem eine Logiklücke in SAP NetWeaver Message Server sowie weitere kritische Probleme rund um Zugriffskontrolle und Credential Disclosure. Für Betreiber betont Onapsis die Priorität schneller Patch-Zyklen und eine genaue Sicht auf die SAP-Anwendungsschicht.
Mit den aktuellen Security Updates rückt SAP eine Schwachstellenserie in den Fokus, die nicht nur theoretisch riskant ist, sondern in Teilen auch ohne Zugangsdaten funktioniert. Im Zentrum steht CVE-2026-44756 mit einem CVSS-Score von 10.0, einer Speicherfehler-basierten Lücke im SAP-Kernel, die sich auf die Verarbeitung von SAP Extended Passport (EPP) stützt. Laut der Beschreibung handelt es sich um einen Fall von Memory Corruption: Bei der Deserialisierung externer EPP-Daten fehlt eine Grenzvalidierung, wodurch speziell präparierte Längenfelder zu einer Verletzung der Speichersicherheit führen können. Das Ergebnis ist besonders kritisch, weil der Exploit laut Angaben Remote Code Execution ermöglicht und dabei im schlimmsten Fall eine vollständige Kompromittierung von Daten und Prozessen der dahinterliegenden SAP-Umgebung nach sich ziehen kann.
Technisch wird die Angriffsfläche über mehrere SAP-Komponenten und Kommunikationspfade geöffnet. Die Lücke liegt in Kernel-Code, der für mehr als einen Protokollpfad genutzt wird; dadurch soll sie von einer internet-fähigen Web-Schicht ebenso erreichbar sein wie über die SAP GUI-Ebene, die viele Endnutzer für den Zugriff verwenden, und auch über RFC-Verbindungen, die SAP-Systeme miteinander verknüpfen. In der Praxis heißt das: Es reicht nicht, nur eine einzelne Einstiegsrichtung zu härten. Der CTO von Onapsis, JP Perez-Etchegoyen, bringt das in seiner Aussage sehr direkt auf den Punkt: „OVERPASS is a flaw in the SAP kernel code that processes this structure. A specially-crafted request sent to an affected system can be abused to take control of the receiving process and, from there, run operating system commands on the host.“ Genau diese Kombination aus Fernzugriff und fehlender Authentifizierung sorgt dafür, dass klassische Netzabschottungen allein den Weg zum Ziel nicht zwingend schließen.
Die Wirkung einer erfolgreichen Ausnutzung wird in dem Update-Text als Kette beschrieben: Zuerst kann ein Angreifer so weit gelangen, dass er auf den SAP Secure Store zugreift, um Datenbank-Anmeldeinformationen und weitere Geheimnisse wie Passwort-Hashes zu rekonstruieren. Danach sollen Live-Session-Daten eingeloggter Nutzer auslesbar sein; anschließend können gespeicherte Credentials verwendet werden, um sich lateral in andere SAP-Systeme zu bewegen. Neben dem reinen Lesen geht es auch um Manipulation: Der Angreifer soll in der Lage sein, Anwendungsdaten, Systemkonfigurationen und sogar SAP-Binaries zu verändern. Perez-Etchegoyen warnt deshalb auch explizit davor, dass SAP-spezifische Berechtigungslogik und das Konzept der Separation of Duties (SoD) nicht zuverlässig schützen können, weil der vulnerable Code bereits vor dem Authentifizierungsschritt läuft. „Because EPP processing is shared kernel code used by more than one protocol, the flaw is reachable from the internet-facing web layer, from the SAP GUI layer every end user connects to, and from the RFC layer that links SAP systems to one another. It is reachable through several SAP components and several communication protocols, none of them requiring credentials, so no single network control can fully mitigate risk.“
Neben OVERPASS adressiert SAP eine weitere kritische Schwachstelle mit sehr hohem Impact, die in der gleichen Veröffentlichung als CVE-2026-58240 geführt wird und einen CVSS-Score von 9.8 trägt. Dabei geht es um SAP NetWeaver Message Server, genauer um eine fehlende Authentication-Prüfung, die laut Beschreibung auch Angreifern ohne Authentifizierungsnachweis und bei Netzwerkzugriff unerlaubte Aktionen ermöglicht. Onapsis soll die Schwachstelle ebenfalls entdeckt haben; der verwendete Name lautet S4GET. Darüber hinaus betont ein namentlich genannter Security Researcher, Pablo „Partu“ Agustin Artuso, dass es sich nicht um eine Fehlkonfiguration handelt: „S4GET is a logic flaw, not a misconfiguration.“ Er ordnet die betroffene Codebasis außerdem den SAP-9.x-Kernel-Linien zu, auf denen SAP S/4HANA und SAP S/4HANA Cloud Private Edition laufen, und hält eine Ausweitung auf weitere ABAP-basierte Produkte für möglich.
Gerade in dieser Klasse von Lücken ist die Reichweite entscheidend: Artuso hebt hervor, dass die Ausnutzung über denselben öffentlichen Port ausgelöst wird, den auch jeder SAP GUI-Client für den Login nutzt. Damit lässt sich die Angriffsfläche laut Aussage nicht ohne Nebenwirkungen wegfiltern, weil sonst der normale Anmeldeprozess beeinträchtigt würde. Dazu kommt, dass für den Angriff keine Zertifikate, keine vorhandene Fehlkonfiguration und keine Credentials erforderlich sein sollen; im Erfolgsfall resultiert ein vollständiges Remote Code Execution als adm, also dem OS-Benutzer, der SAP auf dem jeweiligen Applikationsserver im Cluster betreibt. Zusätzlich nennt SAP zwei weitere kritische Punkte: CVE-2026-76969 (CVSS 9.4) beschreibt eine Credential Disclosure in Multi-Tenant-Apps auf Basis des SAP Cloud Application Programming Model (CAP), während CVE-2026-66768 (CVSS 9.0) eine unzureichende Zugriffskontrolle in SAP NetWeaver SAP GUI für Java adressiert, die willkürliche Kommandos auf dem Host erlauben soll. Laut Quelle wurden keine der genannten Sicherheitslücken bisher ausgenutzt.
Für Betreiber ergibt sich daraus eine klare Patch- und Betriebslogik. Onapsis empfiehlt, zunächst jedes SAP-System zu inventarisieren und dann internet-fähige Instanzen vor internen Umgebungen zu priorisieren. Ebenso wichtig ist ein Exposure-Reduction-Ansatz, also die Verringerung der erreichbaren Angriffswege, sowie ein Monitoring, das nicht nur Netzwerk-Signaturen betrachtet, sondern explizit die SAP-Anwendungsschicht im Blick hat. Perez-Etchegoyen formuliert dazu einen konkreten Anspruch: „Ensure you have visibility into your SAP application layer so that attempts to exploit this vulnerability can be detected and investigated while the rollout is in progress, “ und ergänzt die zentrale organisatorische Lektion, dass reine Governance-Maßnahmen wie Rollenverengung oder Transaktionsbeschränkung gegen diese frühen Kernel-Pfade nicht greifen. Für IT-Leiter bedeutet das: Patch-Fenster müssen eng getaktet sein, Change-Prozesse dürfen die Dringlichkeit nicht verwässern, und die Monitoring-Definition sollte bereits während der Rollout-Phase weiter verfeinert werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SAP behebt CVSS-10.0-Kernel-Lücke „OVERPASS“ und weitere kritische Bugs" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SAP behebt CVSS-10.0-Kernel-Lücke „OVERPASS“ und weitere kritische Bugs" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SAP behebt CVSS-10.0-Kernel-Lücke „OVERPASS“ und weitere kritische Bugs« bei Google Deutschland suchen, bei Bing oder Google News!