top of page
Suche

SAP Security Patch Day - August 2026: 28 neue Security Notes

  • Autorenbild: GoNextConsulting
    GoNextConsulting
  • vor 15 Stunden
  • 5 Min. Lesezeit

Der SAP Security Patch Day im August 2026 fällt besonders umfangreich aus: SAP veröffentlichte 28 neue Security Notes, ein GitHub Advisory und zwei Aktualisierungen. Mehrere Hinweise betreffen zentrale Bereiche wie Commerce Cloud, Fertigungsintegration, NetWeaver, BusinessObjects und Anmeldekomponenten.


Im Mittelpunkt stehen Schwachstellen, über die Angreifer Daten lesen oder verändern, Systeme zum Absturz bringen oder unberechtigt Funktionen ausführen können. Die folgenden Abschnitte erläutern pro Note das konkrete Risiko und die passende Maßnahme.


SAP Security Patch Day August
Aufteilung der Schwachstellen

Kritische Schwachstellen im August 2026


1. CVE-2026-58231 - Umgehung von Berechtigungen im Data Hub Adapter von SAP Commerce Cloud (3771065)

  • CVSS-Score: 10,0 – Sehr hohe Priorität 


  • Beschreibung: Der Data-Hub-Adapter einer Commerce-Cloud-Umgebung prüfte Zugriffe und Eingaben nicht ausreichend. Ein nicht angemeldeter Angreifer kann dadurch geschützte Funktionen missbrauchen und unter Umständen eigenen Code ausführen. Weil dabei Daten, Funktionen und interne Dienste betroffen sein können, ist dies die dringlichste Note des Monats.


  • Handlungsempfehlungen:

    • Das bereitgestellte Sicherheitsupdate mit höchster Priorität einspielen und den Einbau dokumentieren.

    • Bis dahin den Importzugang so beschränken, dass nur die bekannten Data-Hub-Systeme darauf zugreifen können.

    • Nach der Aktualisierung Importvorgänge, Berechtigungen und die wichtigsten Commerce-Prozesse testen.



  • CVSS-Score: 9,9 – Sehr hohe Priorität 


  • Beschreibung: Bei XSL-Transformationen in SAP MII können Angreifer mit geringen Rechten fremde Inhalte einbinden und verarbeiten lassen. Im schlimmsten Fall kann das bis zur Ausführung von Befehlen auf dem Server führen. Das ist besonders relevant, wenn MII Produktions- oder Integrationsprozesse verbindet.


  • Handlungsempfehlungen: 

    • Sicherheitsupdate mit höchster Priorität einspielen.

    • Danach die neue Schutzfunktion aktivieren und nur die tatsächlich benötigten externen Systeme für XSL-Dateien freigeben.

    • Eigene MII-Anwendungen prüfen, die Dateien oder Inhalte aus anderen Systemen beziehen.



  • CVSS-Score: 9,8 – Sehr hohe Priorität 


  • Beschreibung: Fehler beim Verarbeiten bestimmter Netzwerkdaten können in NetWeaver AS ABAP zu Speicherfehlern führen. Ein Angreifer benötigt kein Benutzerkonto und kann dadurch Informationen offenlegen oder den Server zum Absturz bringen.


  • Handlungsempfehlungen: 

    • Aktuellen Sicherheitsstand des SAP-Kerns prüfen und den von SAP bereitgestellten Kernel-Fix zeitnah einspielen.

    • Vor dem Produktivwechsel Regressionshinweise prüfen und die Änderung in einer Testumgebung absichern.

    • Nach dem Update Anmeldungen, Schnittstellen und geschäftskritische Prozesse kontrollieren.



  • CVSS-Score: 9,1 – Sehr hohe Priorität 


  • Beschreibung: Eine MII-Funktion für Umwandlungen kann von bereits stark berechtigten Nutzern missbraucht werden. Wenn sie in eigenen Anwendungen verwendet wird, können darüber unzulässige Befehle auf dem Server ausgelöst werden.


  • Handlungsempfehlungen: 

    • Sicherheitsupdate einspielen; damit wird die anfällige Funktion ersetzt bzw. entfernt.

    • Eigene Anwendungen auf die betroffene Umwandlungsfunktion prüfen und auf den vorgesehenen Standardweg umstellen.

    • Die spezielle Berechtigung für diese Funktion bis zur Umsetzung keiner Rolle zuweisen.



  • CVSS-Score: 8,8 – Hohe Priorität 


  • Beschreibung: Die SQL-Konsole in den ABAP Development Tools ermöglichte unter bestimmten Umständen Datenbankaktionen, obwohl dafür keine ausreichenden Rechte vorlagen. Dadurch konnten Daten gelesen, verändert oder Arbeitsabläufe gestört werden.


  • Handlungsempfehlungen:

    • Sicherheitsupdate einspielen, damit die betroffene SQL-Funktion wieder korrekt eingeschränkt wird.

    • Bis dahin Rechte für Tabellenzugriffe und die SQL-Konsole besonders restriktiv vergeben.

    • Nach dem Update Entwickler- und Analyseberechtigungen gemeinsam mit den Verantwortlichen überprüfen.



  • CVSS-Score: 8,1 – Hohe Priorität 


  • Beschreibung: Commerce Cloud verwendete in bestimmten Public-Cloud-Szenarien eine anfällige NGINX-Version. Speziell gestaltete Anfragen können unter zusätzlichen Bedingungen Speicherfehler auslösen und im Extremfall fremden Code ausführen.


  • Handlungsempfehlungen:

    • Ein neues Commerce-Cloud-Build erzeugen und in jede betroffene Umgebung deployen; damit wird die korrigierte Grundlage übernommen.

    • Prüfen, ob alle Umgebungen tatsächlich mit dem neuen Build laufen.


  • CVSS-Score: 7,6 – Hohe Priorität 


  • Beschreibung: Manipulierte HTTP-Anfragen können Dateipfade außerhalb des vorgesehenen Bereichs ansprechen. Dadurch könnten Angreifer je nach Situation lokale Informationen lesen oder verändern und Teile des Systems beeinträchtigen.


  • Handlungsempfehlungen: 

    • Die in der aktualisierten Note genannten Sicherheitsupdates mit hoher Priorität einspielen.

    • Prüfen, ob der Java Web Container in den betroffenen Systemen aktuell gehalten wird und die Korrektur überall angekommen ist.

    • Es gibt keine Behelfslösung; deshalb die Patch-Umsetzung priorisieren.



  • CVSS-Score: 7,9 – Hohe Priorität 


  • Beschreibung: In einer BusinessObjects-BI-Umgebung wurden bestimmte gespeicherte Zugangsdaten mit einem fest programmierten Schlüssel geschützt. Ein Angreifer mit hohen Rechten und lokalem Serverzugriff könnte diese Daten entschlüsseln.


  • Handlungsempfehlungen: 

    • Sicherheitsupdate einspielen.

    • Vorhandene gespeicherte Zugangsdaten anschließend nach der SAP-Anleitung mit einem neuen Schlüssel erneut absichern.

    • Den Zugriff auf den Server und auf administrative BI-Funktionen besonders streng kontrollieren.



  • CVSS-Score: 7,6 – Hohe Priorität 


  • Beschreibung: In einer MII-Self-Service-Funktion wurden Dateipfade nicht ausreichend geprüft. Ein privilegierter Angreifer könnte dadurch Dateien außerhalb des vorgesehenen Bereichs ablegen. Für einen erfolgreichen Angriff sind allerdings weitere Voraussetzungen nötig.


  • Handlungsempfehlungen: 

    • Sicherheitsupdate einspielen; es ergänzt die notwendige Prüfung von Dateipfaden.

    • Entwicklerrechte in MII nur dann vergeben, wenn sie für die Aufgabe erforderlich sind.

    • Eigene Self-Service- und Dateifunktionen nach dem Update gezielt testen.


  • CVSS-Score: 7,3 – Hohe Priorität

     

  • Beschreibung: Eine Verwaltungsseite in SAP MII setzte bisher nicht die nötigen Rollen voraus. Dadurch konnten Funktionen erreichbar sein, die für die jeweilige Person nicht vorgesehen waren.


  • Handlungsempfehlungen: 

    • Sicherheitsupdate einspielen.

    • Danach die Rollen der Nutzer dieser Verwaltungsseite prüfen und die zusätzlich benötigten Berechtigungen gezielt zuordnen.

    • Die wichtigsten Konfigurationsabläufe nach der Änderung testen.


  • CVSS-Score: 7,3 – Hohe Priorität

     

  • Beschreibung: Auch diese MII-Note betrifft eine unzureichend geschützte Verwaltungsfunktion. Nach der Korrektur dürfen nur noch Personen mit passenden Rollen auf diese Funktion zugreifen.


  • Handlungsempfehlungen: 

    • Sicherheitsupdate einspielen.

    • Rollen und Berechtigungen der betroffenen Nutzer mit den Fachbereichen abstimmen.

    • Prüfen, ob die Funktion nach dem Update nur noch für die vorgesehenen Personen erreichbar ist.


  • CVSS-Score: 7,0 – Hohe Priorität

     

  • Beschreibung: Mehrere Schwachstellen in einer zentralen Weiterleitungs- und Anmeldekomponente können Informationen offenlegen oder Anfragen manipulieren. Besonders wichtig sind sichere Login-Verbindungen und streng kontrollierte Weiterleitungen.


  • Handlungsempfehlungen: 

    • Die eingesetzte Komponente auf einen sicheren Stand aktualisieren.

    • Weiterleitungsregeln und vertrauenswürdige Zieladressen auf das Notwendige beschränken.

    • Anmelde- und Schutzfunktionen nach dem Update gezielt überprüfen.



SAP Security Updates


Handlungsempfehlungen für Unternehmen 


Um SAP-Systeme bestmöglich gegen Angriffe abzusichern, sollten Unternehmen die folgenden Maßnahmen zeitnah umsetzen:


  1. Patches zeitnah einspielen, insbesondere bei CVSS-Werten über 9,0.

  2. Kernel-Updates einplanen 

  3. Testumgebungen nutzen, bevor Updates in produktiven Systemen eingespielt werden.

  4. Überwachungstools einsetzen, um Schwachstellen in Echtzeit zu erkennen.

  5. Regelmäßige Security-Checks, um auch abseits der Patchdays sicherheitsrelevante Risiken zu identifizieren.



Wie Go Next Consulting euch bei der Absicherung eurer SAP-Systeme unterstützt


Gerade bei einer größeren Zahl kritischer und hoch priorisierter Security Notes ist eine strukturierte Bewertung entscheidend. Nicht jede SAP-Landschaft ist gleichermaßen betroffen, gleichzeitig dürfen exponierte oder geschäftskritische Systeme nicht zu spät behandelt werden.


Wir bieten Managed Security Services an, um Unternehmen bei der Identifikation, Bewertung und Behebung von Sicherheitslücken in SAP-Systemen zu unterstützen.


Unsere Leistungen im Überblick:


✅ Regelmäßige Sicherheits-Checks:

Proaktive Überwachung und Analyse potenzieller Bedrohungen


✅ Patch-Management:

Unterstützung bei der schnellen und reibungslosen Implementierung von SAP-Sicherheitsupdates --> siehe Managed SAP Security Notes Service


✅ Schwachstellen-Scans:

Identifikation von Sicherheitslücken in Echtzeit mit modernen Security-Tools wie SecurityBridge


✅ Risikominimierung:

Strategien zur Stärkung der SAP-Sicherheitsarchitektur, ohne den laufenden Betrieb zu gefährden


Mit unserer Expertise im Bereich SAP Security Management helfen wir euch, euer System kontinuierlich zu schützen und Angriffsrisiken zu minimieren.



Fazit zum SAP Security Patch Day im August


Mit 28 neuen Security Notes zählt der August-Patch-Day zu den umfangreicheren Schwachstellenveröffentlichungen der letzten Monate. Besonders die kritischen Schwachstellen in Commerce Cloud, SAP MII und NetWeaver AS ABAP verdeutlichen, wie schnell Sicherheitslücken geschäftskritische Systeme gefährden können.


Gleichzeitig zeigt dieser Patch Day erneut die grundsätzliche Erkenntnis, dass Sicherheitsupdates nicht als reine Wartungsaufgabe verstanden werden sollten, sondern als zentraler Bestandteil einer wirksamen SAP-Sicherheitsstrategie. Gerade Patch Days mit einer Vielzahl schwerwiegender Schwachstellen zeigen, dass klare Prozesse für Priorisierung, Testing und Umsetzung heute wichtiger sind denn je.


Wenn ihr dabei Unterstützung benötigt, helfen wir euch gerne!


Bleibt wachsam und up-to-date! 

Kommentare

bottom of page