Thought Leadership
Zum August-Patchday hat SAP insgesamt 28 neue Sicherheitshinweise sowie zwei Aktualisierungen älterer Hinweise veröffentlicht. Eine Schwachstelle erreicht dabei den höchstmöglichen CVSS-Wert von 10 Punkten.
Am schwersten wiegt eine Lücke im Data Hub Adapter von SAP Commerce Cloud, katalogisiert unter CVE-2026-58231. Sie geht auf einen Fehler in der Rechteprüfung zurück. Wer die Lücke ausnutzt, kann die Authentifizierung umgehen, ohne sich zuvor anmelden zu müssen. SAP geht laut den Patch Notes davon aus, dass sich darüber auch Code ausführen und auf interne Systembestandteile zugreifen lässt. Betroffen sind damit Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung gleichermaßen.
MII: Zwei Wege zur Codeausführung
In der Manufacturing Integration and Intelligence Software (MII) stopft SAP zwei weitere kritische Lücken, die beide auf fehlerhafter Eingabeprüfung in bestimmten Servlets beruhen. CVE-2026-44772 kommt auf einen CVSS-Wert von 9,9, CVE-2026-44758 auf 9,1. In beiden Fällen lassen sich manipulierte Eingaben so gestalten, dass am Ende beliebige Befehle auf dem Server landen und ausgeführt werden, was im ungünstigsten Fall die komplette Infrastruktur kompromittiert. Der Unterschied zwischen den beiden Einträgen liegt laut dem SAP-Sicherheitsdienstleister Onapsis in den benötigten Rechten: Nur eine der beiden Lücken setzt voraus, dass Angreifer bereits über erweiterte Berechtigungen verfügen.
Speicherfehler ganz ohne Anmeldung ausnutzbar
Die vierte kritische Einstufung betrifft den Application Server ABAP für NetWeaver und die ABAP-Plattform. Die als CVE-2026-34265 gelistete und mit 9,8 Punkten bewertete Lücke entsteht durch Logikfehler beim Verarbeiten des DIAG-Protokolls. Anders als die zuvor genannten Fehler lässt sich dieser sogar ganz ohne Authentifizierung ausnutzen, etwa um sensible Daten abzugreifen oder das System zum Absturz zu bringen.
Ergänzung zu einem älteren Hinweis
Neben den neuen Einträgen hat SAP auch einen Hinweis aus dem Juli überarbeitet. Damals hatte der Konzern bereits einen kritischen Speicherfehler im NetWeaver Application Server ABAP behoben, die aktuelle Fassung liefert dazu nun zusätzliche Informationen.
Acht Hinweise mit hohem Schweregrad
Etwas niedriger, aber immer noch als hoch eingestuft, sind acht weitere Schwachstellen. Sie stecken in den ABAP Developer Tools, in der Commerce Cloud, im Change and Transport System Attach Tool, in BusinessObjects, in MII sowie in der Business AI Platform, konkret im Approuter. Unter den gemeldeten Problemen finden sich Rechteausweitung, Pufferüberlauf, Remotecodeausführung, das Offenlegen von Zugangsdaten, Directory Traversal und fehlende Berechtigungsprüfungen. Der Hinweis zum Approuter deckt dabei allein elf einzelne Schwachstellen ab.
Die verbleibenden Einträge des Patchdays betreffen Lücken mit mittlerem und niedrigem Risiko. Dass eine der Schwachstellen bereits aktiv angegriffen wird, ist SAP nach eigenen Angaben bisher nicht bekannt.
(red)
