Thought Leadership
SAP hat im Rahmen seines September-Patchdays insgesamt 22 neue und aktualisierte Security Notes veröffentlicht, darunter fünf HotNews- sowie sechs High-Priority-Einträge.
OVERPASS erreicht höchstmöglichen CVSS-Wert von 10,0
Die beiden schwerwiegendsten Schwachstellen, intern OVERPASS und S4GET genannt, wurden von den Onapsis Research Labs entdeckt und gemeinsam mit SAP behoben. Die als CVE-2026-44756 geführte Schwachstelle OVERPASS betrifft die Verarbeitung von Extended-Passport-Daten im SAP-Kernel und wurde mit dem maximal möglichen CVSS-Wert von 10,0 bewertet. Ein nicht authentifizierter Angreifer kann dabei über eine gezielt präparierte Netzwerkanfrage mit einem fehlerhaft formatierten EPP-Header eine Speicherbeschädigung auslösen, was zu undefiniertem Verhalten oder einem plötzlichen Programmabbruch führen kann.
Nach Angaben der Onapsis Research Labs ist die Lücke über verschiedene SAP-Komponenten und Kommunikationswege erreichbar, darunter Webzugriffe über den Internet Communication Manager, SAP-GUI-Verbindungen sowie RFC-Kommunikation. Betroffen sind zahlreiche Kernel-Versionen sowie der Web Dispatcher, konkret die Reihen KRNL64NUC 7.22 und 7.22EXT, KRNL64UC 7.22 bis 8.04, WEBDISP 9.16 bis 9.20 sowie KERNEL 7.22 bis 9.20.
S4GET erlaubt Ausgeben als vertrauenswürdiger Cluster-Knoten
Die zweite kritische Schwachstelle S4GET, geführt unter CVE-2026-58240 mit einem CVSS-Wert von 9,8, betrifft den SAP NetWeaver Message Server. Laut Onapsis prüft der Message Server bei der Registrierung interner Anwendungsserver-Komponenten deren Authentizität nicht ausreichend, wodurch sich ein nicht authentifizierter Angreifer mit Netzwerkzugriff innerhalb eines SAP-Clusters als vertrauenswürdiger Knoten ausgeben und anschließend unautorisierte Komponenten registrieren kann, um legitime SAP-Funktionen für weitere Angriffe zu missbrauchen.
Eine erfolgreiche Ausnutzung könne sich demnach stark auf Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems auswirken. Betroffen sind unter anderem SAP-S/4HANA-2025-Systeme sowie weitere Umgebungen mit den Kernel-Versionen 9.16, 9.18, 9.19 und 9.20. Bislang liegen SAP und Onapsis zufolge keine Hinweise auf eine tatsächliche Ausnutzung beider Schwachstellen in freier Wildbahn vor, Unternehmen wird dennoch dringend empfohlen, die verfügbaren Patches umgehend einzuspielen.
Weitere kritische und mittelschwere Schwachstellen im selben Patchday
Zusätzlich schloss SAP mit CVE-2026-76969 (CVSS 9,4) eine Schwachstelle zur Offenlegung von Zugangsdaten in mandantenfähigen Anwendungen auf Basis des SAP Cloud Application Programming Model, konkret in der Bibliothek sap/cds-mtxs in den Versionen bis 1.18.3, 2.7.6, 3.9.6 sowie 4.0.2. Mit CVE-2026-66768 (CVSS 9,0) behob SAP zudem eine unzureichende Zugriffskontrolle im SAP GUI für Java. Ergänzend überarbeitete SAP einen bereits im August 2026 veröffentlichten Hinweis zu einer Rechteausweitung in den SAP ABAP Developer Tools (CVE-2026-58243, CVSS 8,8).
Als mittelschwer eingestuft wurden zudem mehrere CSRF-Schwachstellen in Komponenten von SAP S/4HANA Finance for Advanced Payment Management sowie eine fehlende Autorisierungsprüfung in der Anwendung Manage Bank Chains (CVE-2026-76962), die trotz mittlerer Einstufung aufgrund ihrer Rolle in Finanzabläufen und privilegierten Geschäftsrollen operativ relevant sein können.
Gemeinsames Threat-Briefing am 9. September
SAP empfiehlt betroffenen Organisationen, zunächst sämtliche aus dem Internet erreichbaren SAP-Systeme, extern erreichbare Web-Dispatcher-Instanzen, NetWeaver Message Server sowie CAP-Mandantenanwendungen zu identifizieren, bevor die kritischen Fixes eingespielt sowie Kernel- und Komponentenkompatibilität geprüft werden. SAP und die Onapsis Research Labs veranstalten am 9. September um 16 Uhr MESZ ein gemeinsames Threat-Briefing zu den im September-Patchday behobenen Schwachstellen.
(Onapsis Research Labs/SAP/red)
