LONDON (IT BOLTWISE) – SAP schließt im Rahmen des monatlichen Security Patch Day vier Sicherheitslücken mit CVSS 10,0. Betroffen sind zentrale Komponenten in der NetWeaver-Welt: unter anderem Web Dispatcher, Internet Communication Manager, SAP Gateway und der SAML 2.0 Service Provider. Zwei der Lücken ermöglichen laut Hersteller unter bestimmten Voraussetzungen Remote Code Execution über das Netzwerk, ohne dass Nutzeraktionen nötig sind. SAP empfiehlt die Updates als Priorität und veröffentlicht zu jeder Schwachstelle eigene SAP-Notes.
SAP hat zum monatlichen Security Patch Day vier Schwachstellen veröffentlicht und bewertet sie alle mit der Höchstnote CVSS 10,0. Entscheidend für den Betrieb ist dabei weniger die Kennzahl als das Zugriffsszenario: In allen Fällen handelt es sich um Lücken, die sich ausnutzen lassen, ohne dass ein eingeloggter Nutzer aktiv werden muss. Drei Fehler sitzen in Komponenten des SAP-NetWeaver-Stacks, der die Grundlage für viele SAP-Systeme bildet, und ein weiterer Fehler befindet sich im Web Dispatcher. Der Web Dispatcher nimmt dabei typischerweise HTTP(S)-Anfragen von extern entgegen und leitet sie an die dahinterliegende Anwendung weiter.
Technisch rücken vor allem zwei CVSS-10,0-Lücken in den Fokus, weil sie Remote Code Execution über Netzwerkverkehr ermöglichen können. SAP nennt für den Internet Communication Manager (ICM) die Schwachstelle CVE-2026-76964 und für den Web Dispatcher CVE-2026-89126. In beiden Fällen geht es laut Hersteller um speziell präparierten Netzwerkverkehr, der Speicherstrukturen beschädigen kann; gelingt die Ausnutzung, kann ein Angreifer anschließend Code ausführen und das betroffene System vollständig kompromittieren. Wichtig ist die Architekturperspektive: Wenn der ICM oder der Web Dispatcher öffentlich erreichbar sind oder indirekt über eine „falsche“ Netzroute erreichbar werden, steigt das Risiko durch sehr kurze Angriffswege.
Daneben adressieren die Updates zwei weitere Fehlerbilder, die eher aus dem Identity- und Integrationskontext entstehen. Beim SAML-2.0-Service-Provider (CVE-2026-120017) beschreibt SAP, dass ein Angreifer in betroffenen Setups unter Umständen in der Lage ist, sich als privilegierte Benutzer einzuloggen; bei Systemen mit SAML Single Sign-On (SSO) könnte daraus eine weitergehende Kompromittierung bis zu verbundenen Systemen folgen. Die Schwachstelle beruht nach der Beschreibung auf Konfigurationsbedingungen rund um die Prüfung eingehender Assertions. Eine andere Lücke liegt im SAP Gateway (CVE-2026-89103), das Dienste zwischen SAP-Systemen vermittelt. Hier nutzt der Hersteller die Idee von Zugriffskontrollregeln und beschreibt, dass ein extern erreichbarer Angreifer mit hoher Berechtigung so behandelt werden könnte, als sei er ein zugehöriges System-eigenes Anwendungsszenario – was dann Angriffswege auf Gateway-Ebene in Richtung unerlaubter Aktionen öffnet.
Für die Patch-Planung liefert SAP zugleich eine belastbare Zuordnung über CVE, betroffene Komponente und SAP Note. Konkret nennt der Hersteller etwa für CVE-2026-76964 den ICM- und NetWeaver-Kontext mit SAP Note 3778530 sowie Kernel-Versionen wie 7.53, 7.54, 7.77, 7.93 und 9.16/9.18/9.20. Für CVE-2026-89126 verweist SAP auf Note 3778556 und deutlich unterschiedliche Buildpfade, die unter anderem HDB 2.00 sowie mehrere Kernel- und Web-Dispatcher-Varianten (inklusive XS-advanced-/extended-Nebenkomponenten) einschließen. Die Gateway-Lücke CVE-2026-89103 ist in Note 3798345 zusammengeführt, während CVE-2026-120017 im Umfeld der SAML2 Service Provider in Note 3849308 adressiert wird, die mehrere SAP_BASIS-Versionen umfasst. In der Praxis bedeutet das: Wer ohnehin regelmäßig auf Kernel- und Komponententreiber aktualisiert, muss die Verknüpfung zwischen Gateway-Web-Schicht, ICM/Dispatcher und Identitätskomponente sauber in die Freigabe- und Testzyklen aufnehmen.
Auch Detailempfehlungen aus der Analyse von RedRays sind dabei ein zusätzlicher Hinweis, wie Unternehmen die Rollout-Mechanik gestalten können. Die Firma empfiehlt, Kernel und alle Web Dispatcher in einem einheitlichen Rollout zu aktualisieren, sodass die Fixes nicht nur einzelne Instanzen, sondern die gesamte relevante Dispatcher-Landschaft abdecken. Auf Schwachstellenebene rät die Analyse bei SAML2 (CVE-2026-120017) dazu, AS ABAP-Systeme, die SAML2 für Browser-Logins verwenden (zum Beispiel typische UI-Einstiegspunkte hinter einem Identity Provider), bis zum Gegenbeweis als in Scope zu behandeln. Für Gateway (CVE-2026-89103) wird als zusätzliche Absicherung der Kernel-Parameter gw/acl_mode_proxy in der Fix-Logik genannt und zugleich empfohlen, nach dem Patch zu prüfen, dass gw/acl_mode korrekt gesetzt ist und der Gateway-Port (33xx) nicht aus Benutzer-Netzwerken oder dem Internet erreichbar ist.
Für die ICM- und Web-Dispatcher-Lücken ergänzt die Analyse konkrete technische Einordnungen. Bei CVE-2026-76964 beschreibt SAP die Ausnutzbarkeit über WebSocket-Control-Frames mit fehlerhaften Längenfeldern, die vor einer Authentifizierung zu einer Heap out-of-bounds-Schreiboperation führen können; laut Hersteller ist SAP NetWeaver AS Java nicht betroffen. RedRays hält zudem fest, dass das Patchen des vorgeschalteten Web Dispatchers in bestimmten Szenarien den ICM temporär abschirmen kann, solange niemand die ICM-Ports direkt erreicht. Für CVE-2026-89126 gilt ein ähnliches Root-Cause-Muster: SAP unterscheidet dabei Patchpfade für standalone und embedded Web Dispatcher, einschließlich spezieller Pfade in SAP HANA XS Classic sowie XS Advanced. Als Übergang nennt die Analyse das Abschalten von WebSocket-Unterstützung als „letzte“ Maßnahme, weist aber gleichzeitig darauf hin, dass das Funktionen wie ABAP Push Channels und bestimmte Fiori-Features beeinträchtigen kann.
Aus Marktsicht zeigt dieser Patch Day vor allem, wie stark sich die Angriffsfläche im SAP-Umfeld in die Web- und Identitätsschichten verlagert. CVSS 10,0 ist zwar für viele Leser vor allem eine Kennzahl, aber hier treffen mehrere Muster zusammen: ausnetzwerkbare Speicherfehler in Dispatcher/ICM, Identitätsumgehung im SAML-Kontext und Integrationsrisiken im Gateway. Für Sicherheitsverantwortliche bedeutet das, die Priorisierung nicht nur nach „SAP Note veröffentlicht“ zu setzen, sondern nach Verbindungswegen: Welche Systeme sind direkt oder indirekt erreichbar, welche UI- und SSO-Pfade sind aktiv, und ob Gateway-Ports intern abgeschirmt sind. Wer jetzt patcht, profitiert zudem von der Klarheit der Herstellerzuordnung über CVE und Notes, muss aber operativ sicherstellen, dass kein Dispatcher- oder Gateway-Teil übrig bleibt, der im Rollout nicht getestet wurde.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SAP behebt vier CVSS-10.0-Lücken bei NetWeaver, Gateway, Web Dispatcher und SAML" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SAP behebt vier CVSS-10.0-Lücken bei NetWeaver, Gateway, Web Dispatcher und SAML" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SAP behebt vier CVSS-10.0-Lücken bei NetWeaver, Gateway, Web Dispatcher und SAML« bei Google Deutschland suchen, bei Bing oder Google News!