SAP-Patch-Day: Vier kritische Schwachstellen, eine mit CVSS 10,0
Veröffentlicht am: 14.10.2026 um 08:25 Uhr | Redaktion boerse-global.de
Der Softwarekonzern SAP hat an seinem turnusmäßigen Oktober-Patch-Day mehrere schwerwiegende Schwachstellen beseitigt. Unter den geschlossenen Sicherheitslecks befinden sich vier kritische Schwachstellen, darunter ein Hochrisiko-Problem im NetWeaver Visual Composer sowie ein Fehler im Cloud SDK for Python, über den Angreifer Zugangsdaten für Cloud-Dienste abfangen konnten.
Insgesamt umfasst der aktuelle Veröffentlichungszyklus 21 Sicherheitsmitteilungen: 16 neue sowie zwei aktualisierte Hinweise zum Stichtag, ergänzt um drei bereits zuvor bereitgestellte Aktualisierungen. Zudem publizierte das Unternehmen vier GitHub-Sicherheitshinweise. Die Einstufung der Notes unterteilt sich in drei Meldungen der höchsten Kategorie HotNews, vier Einstufungen als hoch, 13 mittlere sowie eine Note mit niedriger Priorität.
Höchstbewertung für Schwachstelle im Cloud SDK for Python
Die gravierendste Lücke mit dem maximalen CVSS-Wert von 10,0 betrifft das SAP Cloud SDK for Python vor Version 0.45.2. Bei der unter CVE-2026-89111 geführten Server-Side-Request-Forgery-Schwachstelle können Angreifer über eine manipulierte Tenant-Subdomain unberechtigt Anfragen für OAuth2-Tokens auf eigene Systeme umleiten. Dadurch lassen sich Client-Zugangsdaten ohne vorherige Authentifizierung abgreifen.
Das Problem betrifft mandantenfähige Anwendungen auf der SAP Business Technology Platform (BTP) und gefährdet angebundene Ressourcen wie SAP S/4HANA, SuccessFactors sowie weitere BTP-Dienste. Gemeldet wurde die Lücke von dem GitHub-Nutzer SunandM.
Ein automatisches Systemupdate steht für diese Bibliothek nicht zur Verfügung, weshalb Entwicklungsteams ihre Abhängigkeiten manuell aktualisieren müssen. Als Behebung dient die Version 0.45.2 vom 21. August 2026, die eine strikte Namensprüfung einführt.
In den zwischen dem 10. und 18. September 2026 veröffentlichten Versionen 0.53.0 bis 0.55.0 wurde dieser Prüfschritt bei Destination-Service-Aufrufen zwischenzeitlich übersprungen, ehe Version 0.55.1 am 18. September 2026 die Absicherung wiederherstellte.
Der Schutz ist in den Zweigen 0.45.2 bis 0.52.2 sowie ab 0.55.1 bis zur Version 0.58.4 enthalten. Administratoren wird empfohlen, potenziell exponierte BTP-Schlüssel auszutauschen oder als Übergangslösung Subdomains gegen eine Positivliste abzugleichen.
Risiken in NetWeaver Visual Composer und S/4HANA
Mit einem CVSS-Wert von 9,9 birgt auch CVE-2026-89110 im SAP NetWeaver Visual Composer (Komponente VC70RUNTIME 7.50 auf dem Java Application Server) ein erhebliches Risiko. Angreifer mit niedrigen Rechten können über fehlerhafte Zugriffskontrollen interne Operationen auf konfigurierten Zielsystemen anstoßen, was insbesondere Finanz- und ERP-Systeme gefährdet.
Wer sich mit der Absicherung kritischer IT-Infrastrukturen befasst, muss heute auch neue gesetzliche Anforderungen und KI-Risiken im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security E-Book kostenlos herunterladen
Die Korrektur erfolgt über die Security Note 3797111, die sichere Standardeinstellungen für Zugriffslisten erzwingt. Scan-Daten des Sicherheitsdienstleisters CyCognito zeigen eine breite Verteilung betroffener Instanzen: Rund 34,31 Prozent entfallen auf Kommunikationsdienste, 30,96 Prozent auf den IT-Sektor und 14,64 Prozent auf Basiskonsumgüter.
In Deutschland betrifft dies etwa zwei von fünf der beobachteten Systeme auf den Ports 50000, 50001, 50100 und 50300. Eine frühere Lücke in derselben Komponente, CVE-2025-31324, wurde bereits aktiv ausgenutzt.
Ebenfalls mit CVSS 9,9 bewertet ist CVE-2026-89107 in SAP S/4HANA. In den S4CORE-Versionen 105 bis 109 können Nutzer mit Geschäftsrollen über eine fehlerhafte Eingabevalidierung in den Substitutions- und Validierungsregeln beliebigen ABAP-Code ausführen. Note 3805589 behebt den Fehler.
Weitere Warnungen betreffen eine Rechteausweitung im SAP MII Configuration Service (CVE-2026-89108, CVSS 9,1, Note 3798788), eine SQL-Injection in SAP Commerce Cloud (CVE-2026-89113, CVSS 8,8, Note 3800517) sowie Speicherfehler im Internet Communication Manager (CVE-2026-58249, CVSS 7,5).
Angesichts der zunehmenden Professionalisierung von Cyberangriffen ist ein proaktiver Schutz der Unternehmenssysteme wichtiger denn je. Experten erklären in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihre Firma wirksam absichern. Jetzt Gratis-Leitfaden zur Cyber-Security sichern
Das kanadische Cyber Centre wies in einer Mitteilung auf die Dringlichkeit der Updates für betroffene Produktversionen hin. Das Sicherheitsunternehmen Onapsis trug zur Identifikation von zehn Schwachstellen in acht Hinweisen bei.
Aktive Angriffe auf die neuen Lücken sind SAP zufolge bisher nicht bekannt. Fachleute verweisen vor dem Hintergrund regulatorischer Vorgaben wie NIS-2 und den Pflichten nach dem BSI-Gesetz auf eine zügige Umsetzung des Schwachstellenmanagements.
