WALLDORF / LONDON (IT BOLTWISE) – SAP hat im Rahmen der Security Updates für Juli 2026 mehrere kritische Schwachstellen geschlossen. Besonders brisant ist eine NetWeaver-ABAP-Lücke mit CVSS 9.9, die unter bestimmten Bedingungen zu Speicher-Korruption und damit zu unbefugtem Datenzugriff führen kann. Zusätzlich adressiert SAP Probleme in SAP Approuter-Deployments (HTTP Request/Response Smuggling) sowie ein OAuth-2.0-Default-Credentials-Szenario in SAP Commerce Cloud. Für betroffene Umgebungen stehen klare Patch- und Prüfempfehlungen auf dem Plan.
SAP reagiert auf gleich mehrere hochriskante Sicherheitsbefunde und liefert dazu Patches im Kontext der Security Updates für Juli 2026. Im Mittelpunkt steht CVE-2026-44747 mit einem CVSS-Score von 9.9: eine Out-of-bounds-Write-Schwachstelle im SAP NetWeaver Application Server ABAP. Entscheidend ist die Kombination aus Authentifizierung und Speicherfehler-Logik: Ein Angreifer kann über fehlerhafte Speicherverwaltung zu Memory Corruption gelangen, wodurch anschließend unbefugter Zugriff auf Daten, deren Veränderung oder auch Systemausfälle möglich werden. Damit verschiebt sich die Priorität für viele Unternehmen in Richtung ABAP-Kernel-Compliance und kontrollierter Release-Zyklen.
Als kurzfristige Übergangslösung nennt SAP für CVE-2026-44747 eine Maßnahme über den Transaktionscode SICF: Man soll alle ICF-Nodes mit einer bestimmten Eigenschaft deaktivieren. Onapsis erläutert, dass dieser Ansatz zwar die Angriffsfläche senkt, aber zugleich das Öffnen von Transaktionen in SAP GUI for HTML unterbindet. Genau darin liegt der operative Konflikt: Für Teile der Benutzergruppe ist diese Funktion essenziell, für andere Systeme dagegen tolerierbar. In der Praxis wird daher häufig nicht nur die ICF-Option bewertet, sondern parallel der Patch-Plan auf ABAP-Kernel-Versionen beschleunigt, weil kurzfristige Workarounds ohne saubere Wiederaktivierungs- und Monitoring-Strategie sonst zu Schattenrisiken werden.
Technisch zeigt sich hier ein wiederkehrendes Muster aus der Secure-Engineering-Perspektive: Speichergrenzenfehler in serverseitigen Komponenten sind selten „nur“ Qualitätsmängel, sondern können zur Basis für weitere Kettenangriffe werden. Historisch waren in Unternehmens-ERP-Ökosystemen vor allem ungeprüfte Parameterflüsse, fehlerhafte Pufferverwaltungen und schlecht getestete Edge-Cases in Interprozess-Kommunikation und Framework-Code treibende Faktoren. Ähnlich gelagert ist auch der zweite Block kritischer Schwachstellen: CVE-2026-27690 (CVSS 9.1) betrifft HTTP Request/Response Smuggling in SAP Approuter-Deployments in nicht-Cloud-Foundry-Umgebungen. Dabei kann ein Angreifer mit einer präparierten HTTP-Anfrage Request-Response-Desynchronisierung auslösen, was Nutzerantworten freilegen kann und zusätzlich DoS-Angriffe ermöglicht.
Im Markt erhöht das den Druck auf das „Boundary-Defense“-Denken rund um Middleware und Gateways. Während SAP Approuter-Setups betroffen sind, zeigt die strukturelle Parallele zu anderen Unternehmensplattformen, wie stark moderne Angriffsoberflächen von Reverse-Proxies, API-Gateways und L7-Routing abhängen: Selbst wenn eine Web- oder Auth-Schicht scheinbar sicher konfiguriert ist, können Parsing-Differenzen zwischen Komponenten wie Proxy und Approuter entstehen. Wettbewerber wie Oracle mit seinen Datenbank- und Web-Stacks sowie Microsoft mit Azure- und On-Premises-Integrationen verfolgen deshalb seit Jahren den Ansatz, Standardhärtungen eng mit patchbaren Komponenten zu verzahnen. Für Sicherheitsabteilungen bedeutet das: Patchen allein reicht selten; auch Request-Parsing-Regeln, Logging-Korrelation und WAF/Proxy-Konfiguration müssen zur Ziel-Topologie passen.
Ein drittes, besonders praxisnahes Risiko adressiert SAP in SAP Commerce Cloud: CVE-2026-44761 (CVSS 9.1) beruht auf Default-Credentials, genauer: eine sample OAuth-2.0-Client-Konfiguration mit öffentlich dokumentierten Beispielzugangsdaten, die aus einer SAP Help-Portal-Dokumentation stammen kann. Laut NVD-Beschreibung könnte ein nicht authentifizierter Angreifer diese bekannten Credentials verwenden, um einen gültigen Access Token zu erhalten und definierte APIs aufzurufen, um Daten zu lesen und zu ändern. Die Relevanz hängt dabei weniger an „mysteriöser Ausnutzung“, sondern an Governance: Onapsis führt aus, dass die zugrunde liegenden Skripte ursprünglich für Entwicklung und Tests gedacht waren und ältere Dokumentationsstände Kunden nicht klar genug davor warnten, diese Defaults in Produktion zu übernehmen. Eine betroffene Provisionierung ist damit ein organisatorisches, nicht nur technisches Problem.
Regulatorisch und im Sinne von Datenschutz- und Compliance-Pflichten kommt hinzu, dass die Schwere dieser Szenarien unmittelbar mit Vertraulichkeit und Integrität zusammenhängt: Unbefugter Datenzugriff bzw. Datenänderung trifft typische Auflagen aus Vertrags- und Gesetzesrahmen. Auch wenn die Quelle keine laufenden Exploits in freier Wildbahn belegt, wird aus Security-Management-Sicht ein „State of exposure“-Ansatz sinnvoll: Unternehmen sollten ihre Produktionslandschaft systematisch prüfen, ob der betroffene OAuth-2.0 Sample Client vorhanden ist, und ihn entfernen. Dazu passt ein zweistufiger Plan aus kurzfristiger Risikoreduktion (Workaround, falls nötig) und mittelfristigem Stabilitätsfokus (Patchen, insbesondere ABAP-Kernel). Mit Blick auf die nächsten Quartale ist zudem zu erwarten, dass SAP und der Ökosystemmarkt stärker in automatisiertes Update-Testing und Konfigurations-Scanning investieren werden, weil gerade Default-Credential-Fehler und Gateway-Parsing-Divergenzen sich durch bessere Continuous-Compliance-Prozesse früher erkennen lassen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SAP patched CVSS-9.9 NetWeaver ABAP-Lücke und weitere Kritische" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SAP patched CVSS-9.9 NetWeaver ABAP-Lücke und weitere Kritische" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SAP patched CVSS-9.9 NetWeaver ABAP-Lücke und weitere Kritische« bei Google Deutschland suchen, bei Bing oder Google News!