SAP S/4HANA: Kritische Sicherheitslücke wird aktiv ausgenutzt

Das Sicherheitsunternehmen SecurityBridge warnt vor der aktiven Ausnutzung einer kritischen Schwachstelle in SAP S/4HANA. Die als CVE-2025-42957 katalogisierte Lücke wurde bereits im August von SAP geschlossen.

Die mit “kritisch” bewertete Schwachstelle erlaubt es Angreifern bereits mit niedrigen Systemprivilegien, beliebigen Code auszuführen und dadurch die komplette Kontrolle über das SAP-System zu übernehmen. Joris van de Vis, Forschungsleiter bei SecurityBridge, bestätigt gegenüber SecurityWeek mehrere Fälle schädlicher Ausnutzung in Kundenumgebungen.

Verschärfend kommt hinzu: Die Komplexität der Schwachstelle sei gering. Fachkräfte mit entsprechender SAP- oder Sicherheitsexpertise könnten ohne größere Schwierigkeiten funktionsfähige Exploits entwickeln, so van de Vis.

Umfassende Systemkompromittierung möglich

Bei erfolgreicher Ausnutzung stehen Angreifern weitreichende Möglichkeiten offen: Sie können Daten in der SAP-Datenbank manipulieren oder löschen, neue Administratorkonten anlegen, Passwort-Hashes extrahieren und Geschäftsprozesse verändern. SecurityBridge spricht von einer “vollständigen Systemkompromittierung mit minimalem Aufwand”, die zu Betrug, Datendiebstahl, Spionage oder Ransomware-Installationen führen könne.

Detailangaben zu Angriffen zurückgehalten

Weitere Details zu den beobachteten Angriffen gibt SecurityBridge derzeit nicht preis. Das Unternehmen berichtet jedoch, dass bislang keine flächendeckende Ausnutzung festgestellt wurde. Betroffene Organisationen sollten ihre Logdateien auf verdächtige RFC-Aufrufe, ungewöhnliche neue Administratorkonten und unerwartete ABAP-Code-Änderungen prüfen.