SAP Security Patch Day - Oktober 2026: Kritische Schwachstellen und dringende Patches
Der SAP Security Patch Day im Oktober umfasst 16 neue Security Notes, vier GitHub-Security-Advisories und zwei aktualisierte Hinweise. Der höchste CVSS-Wert beträgt 10,0.
Besonders dringlich sind eine SSRF-Schwachstelle im SAP Cloud SDK für Python, Codeausführung in S/4HANA und eine Berechtigungsschwäche in SAP NetWeaver Visual Composer, die Auswirkungen auf verbundene Systeme haben kann. Prüft zuerst, ob die betroffenen Komponenten in eurer Systemlandschaft eingesetzt werden, und plant die Korrekturen entsprechend ihrer Erreichbarkeit und Nutzung.
In diesem Beitrag geben wir wie immer einen Überblick über die relevantesten Schwachstellen (CVSS-Score >7,0) inklusive konkreter Handlungsempfehlungen.
Kritische Schwachstellen im Oktober 2026
1. CVE-2026-89111 - OAuth2-SSRF im SAP Cloud SDK für Python
CVSS-Score: 10,0 – Sehr hohe Priorität
Beschreibung: In mandantenfähigen BTP-Anwendungen kann ein Angreifer den Parameter tenant_subdomain kontrollieren und OAuth2-Token-Anfragen an einen von ihm kontrollierten Server umleiten. Dadurch können Client-Zugangsdaten offengelegt werden. Laut CVSS sind dafür weder vorhandene Berechtigungen noch eine Nutzeraktion erforderlich.
Handlungsempfehlungen:
Prüfe, ob Anwendungen das SAP Cloud SDK für Python in einer betroffenen Version einsetzen.
Aktualisiere die Bibliothek auf Version 0.45.2 oder neuer und teste anschließend den OAuth2- und Mandantenfluss.
Falls Zugangsdaten möglicherweise offengelegt wurden, behandel sie als kompromittiert und erneuere diese.
2. CVE-2026-89110 - Fehlerhafte Zugriffskontrolle im SAP NetWeaver Visual Composer (3797111)
CVSS-Score: 9,9 – Sehr hohe Priorität
Beschreibung: Ein Angreifer mit niedrigen Berechtigungen kann bestimmte interne Funktionen auf einem vorkonfigurierten Remotesystem aufrufen. Je nach Konfiguration der Remote-Verbindung kann das bis zur vollständigen Übernahme dieses Systems führen. Die Schwachstelle ist über das Netzwerk ausnutzbar und benätigt laut CVSS keine Nutzeraktion.
Handlungsempfehlungen:
Gleiche Visual Composer Runtime 7.50 mit eurem Systembestand ab und spiele Note 3797111 priorisiert ein.
Kontrolliere, welche Remote-Systeme vorkonfiguriert sind und welche Konten Funktionen im Visual Composer aufrufen können.
Untersuche auffällige Zugriffe auf verbundene Systeme, besonders wenn sie von niedrig privilegierten Konten ausgehen.
3. CVE-2026-89107 - Codeausführung in S/4HANA-Regeln (3805589)
CVSS-Score: 9,9 – Sehr hohe Priorität
Beschreibung: Die Regelfunktion verarbeitet Eingaben in einer domänenspezifischen Sprache unzureichend. Ein angemeldeter Angreifer mit den erforderlichen fachlichen Berechtigungen kann manipulierte Eingaben einschleusen, die als ABAP-Code interpretiert werden. Eine erfolgreiche Ausnutzung kann Vertraulichkeit, Integrität und Verfügbarkeit des Systems gefährden.
Handlungsempfehlungen:
Gleiche eure S/4HANA-Version mit den betroffenen Ständen ab und setze Note 3805589 zeitnah um.
Begrenze die Berechtigungen zum Erstellen und Ändern von Substitutions- und Validierungsregeln auf den notwendigen Personenkreis.
Lass kürzlich geänderte Regeln prüfen und untersuche unerwartete Regelanpassungen.
4. CVE-2026-89108 - Erhöhte Rechte über den MII Configuration Service (3798788)
CVSS-Score: 9,1 – Sehr hohe Priorität
Beschreibung: Ein Angreifer mit MII-Administratorrechten kann eine speziell manipulierte Anfrage verwenden, um ein Konto mit erhöhten Rechten auf dem zugrunde liegenden Java Application Server anzulegen. Damit kann die Auswirkung über die MII-Anwendung hinausreichen. Der CVSS-Vektor setzt hohe Berechtigungen voraus, bewertet die möglichen Folgen für Vertraulichkeit, Integrität und Verfgbarkeit aber jeweils als hoch.
Handlungsempfehlungen:
Prüfe MII-Systeme der Versionen 15.4 und 15.5 und installiere die Korrektur aus Note 3798788.
Beschränken MII-Administrationsrechte und kontrolliere neu angelegte Konten auf dem Java Application Server.
Prüfen administrative Aktivitäten und Kontoänderungen auf nicht autorisierte Vorgänge.
5. CVE-2026-89113 - SQL Injection in SAP Commerce Cloud (3800517)
CVSS-Score: 8,8 – Hohe Priorität
Beschreibung: Bestimmte Eingaben werden nicht ausreichend geprüft, bevor sie in eine Datenbankabfrage gelangen. Ein angemeldeter Nutzer mit niedrigen Berechtigungen kann speziell manipulierte Anfragen senden. Bei erfolgreicher Ausnutzung könnten Daten ausgelesen, geändert oder gelöscht werden.
Handlungsempfehlungen:
Gleiche die eingesetzte Commerce-Cloud-Version ab und setze die Korrektur aus Note 3800517 um.
Prüf, welche Nutzer auf die betroffenen Funktionen zugreifen können, und begrenze diese Rechte auf das notwendige Maß.
Achte auf ungewöhnliche Anfragen sowie verdächtige Lese- oder Schreibzugriffe auf Anwendungsdaten.
6. CVE-2026-58249 - Memory Corruption in NetWeaver und Web Dispatcher (3765424)
CVSS-Score: 7,5 – Hohe Priorität
Beschreibung: Eine nicht ausreichend geprüfte Anfrage kann einen Fehler bei der Speicherverarbeitung auslösen. Ein Angreifer kann dadurch den betroffenen Prozess zum Absturz bringen. Der öffentliche CVSS-Vektor bewertet die Auswirkung auf die Verfügbarkeit als hoch; Auswirkungen auf Vertraulichkeit und Integrität sind dort nicht ausgewiesen. Eine Anmeldung ist laut Vektor nicht erforderlich.
Handlungsempfehlungen:
Prüfe die in der SAP-Übersicht aufgeführten Komponenten und Versionen und spiele die passende Korrektur aus Note 3765424 ein.
Priorisieren Sie Systeme, deren ICM oder Web Dispatcher aus nicht vertraünswürdigen Netzen erreichbar ist.
Bis zur Korrektur sollte der Zugriff auf betroffene Dienste, wo betrieblich möglich, auf notwendige Netze beschränkt werden.
7. CVE-2026-89120 - Erneute Berechtigungsschwäche in der ABAP Platform (3626303)
CVSS-Score: 7,1 – Hohe Priorität
Beschreibung: Eine Änderung an einer API hat eine zuvor behobene Berechtigungsschwäche erneut eingeführt. Ein Nutzer mit niedrigen Berechtigungen kann den Session Manager im Einzeltransaktionsmodus öffnen - auch aus dem Fiori Launchpad - und mit manipulierten Anfragen Berechtigungsbeschränkungen umgehen. Laut CVSS sind die möglichen Auswirkungen auf die Integrität hoch und auf die Vertraulichkeit niedrig; die Verfügbarkeit wird nicht beeinträchtigt.
Handlungsempfehlungen:
Prüfe Kernel 7.93 und 9.16 auf die betroffene Änderung und setze Note 3626303 um.
Teste die Berechtigungen für Session Manager und Fiori Launchpad nach der Korrektur gezielt mit Konten niedriger Berechtigungsstufen.
Untersuche auffällige Zugriffe, die Beschränkungen für Transaktionen oder Sitzungen umgehen könnten.
Handlungsempfehlungen für Unternehmen
Um SAP-Systeme bestmöglich gegen Angriffe abzusichern, sollten Unternehmen die folgenden Maßnahmen zeitnah umsetzen:
Patches zeitnah einspielen, insbesondere bei CVSS-Werten über 9,0.
Kernel-Updates einplanen
Testumgebungen nutzen, bevor Updates in produktiven Systemen eingespielt werden.
Überwachungstools einsetzen, um Schwachstellen in Echtzeit zu erkennen.
Regelmäßige Security-Checks, um auch abseits der Patchdays sicherheitsrelevante Risiken zu identifizieren.
Wie Go Next Consulting euch bei der Absicherung eurer SAP-Systeme unterstützt
Gerade bei einer größeren Zahl kritischer und hoch priorisierter Security Notes ist eine strukturierte Bewertung entscheidend. Nicht jede SAP-Landschaft ist gleichermaßen betroffen, gleichzeitig dürfen exponierte oder geschäftskritische Systeme nicht zu spät behandelt werden.
Wir bieten Managed Security Services an, um Unternehmen bei der Identifikation, Bewertung und Behebung von Sicherheitslücken in SAP-Systemen zu unterstützen.
Unsere Leistungen im Überblick:
✅ Regelmäßige Sicherheits-Checks:
Proaktive Überwachung und Analyse potenzieller Bedrohungen
✅ Patch-Management:
Unterstützung bei der schnellen und reibungslosen Implementierung von SAP-Sicherheitsupdates --> siehe Managed SAP Security Notes Service
✅ Schwachstellen-Scans:
Identifikation von Sicherheitslücken in Echtzeit mit modernen Security-Tools wie SecurityBridge
✅ Risikominimierung:
Strategien zur Stärkung der SAP-Sicherheitsarchitektur, ohne den laufenden Betrieb zu gefährden
Mit unserer Expertise im Bereich SAP Security Management helfen wir euch, euer System kontinuierlich zu schützen und Angriffsrisiken zu minimieren.
Fazit zum SAP Security Patch Day im Oktober
Der SAP Patch Day im Oktober 2026 verbindet eine Bewertung von CVSS 10,0 mit kritischen Schwachstellen in SAP- und BTP-Komponenten. Besonders Verantwortliche für mandantenfähige BTP-Anwendungen, S/4HANA, Visual Composer und MII sollten jetzt prüfen, ob ihre Systeme betroffen sind und die Korrekturen priorisieren.
Unsere Empfehlung: Nutzt den Patch Day, um neben den akuten Updates auch Patch- und Berechtigungsprozesse zu prüfen.
Wenn ihr dabei Unterstützung benötigt, helfen wir euch gerne!
Bleibt wachsam und up-to-date!
Kommentare