SAP Patch Day November 2026 schließt vier Sicherheitslücken mit CVSS 10.0

Beim SAP Security Patch Day am 10. November 2026 hat SAP unter anderem neun kritische Schwachstellen veröffentlicht. Vier erreichen mit einem CVSS-Score von 10.0 die höchste Risikostufe. Betroffen sind zentrale Komponenten der SAP-Infrastruktur, darunter SAP NetWeaver AS ABAP, SAP Gateway und SAP Web Dispatcher. Angreifer könnten teilweise ohne vorherige Authentifizierung auf Systeme zugreifen oder Schadcode ausführen.

Vier SAP-Sicherheitslücken erreichen CVSS 10.0

Die vier Schwachstellen mit dem höchsten Schweregrad betreffen unterschiedliche Funktionen der SAP-Basisinfrastruktur:

• SAP NetWeaver AS ABAP (SAML2): Eine unzureichende Prüfung von Authentifizierungsinformationen ermöglicht es Angreifern unter bestimmten Konfigurationen, fremde Identitäten einschließlich privilegierter Benutzerkonten anzunehmen (SAP Security Note 3849308 | CVE-2026-120017).
• Internet Communication Manager (ICM): Manipulierte Netzwerkanfragen können Speicherfehler auslösen und die Ausführung beliebigen Programmcodes ermöglichen (SAP Security Note 3778530 | CVE-2026-76964).
• SAP Gateway: Eine unsichere Standardeinstellung der Zugriffskontrolle kann dazu führen, dass externe Angreifer als vertrauenswürdige interne Anwendungsserver eingestuft werden (SAP Security Note 3798345 | CVE-2026-89103).
• SAP Web Dispatcher: Ein Speicherüberlauf ermöglicht unter bestimmten Voraussetzungen die Ausführung von Schadcode ohne vorherige Anmeldung. (SAP Security Note 3778556 | CVE-2026-89126).

Besonders relevant ist, dass alle vier Schwachstellen Komponenten der technischen SAP-Basis betreffen. Diese übernehmen zentrale Aufgaben bei der Authentifizierung, Netzwerkkommunikation und Anbindung von SAP-Systemen. Sicherheitslücken in diesen Komponenten können deshalb über einzelne Geschäftsanwendungen hinaus Auswirkungen auf die gesamte SAP-Landschaft haben.

Kritische Schwachstellen in S/4HANA und NetWeaver

Darüber hinaus stuft SAP fünf weitere Schwachstellen als kritisch ein. Drei davon erreichen einen CVSS-Wert von 9.9 und ermöglichen Angreifern mit geringen Benutzerrechten die Ausführung von Schadcode. Betroffen sind Funktionen von SAP S/4HANA CRM (CVE-2026-109795), SAP NetWeaver Knowledge Management (CVE-2026-109803) sowie SAP NetWeaver AS ABAP und ABAP Platform (CVE-2026-76965).

Eine weitere Schwachstelle mit einem CVSS-Wert von 9.6 betrifft SAP Web Dispatcher und Internet Communication Manager (ICM). Hier können Angreifer angemeldete Administratoren über manipulierte Links zu unbeabsichtigten Aktionen verleiten (CVE-2026-89119). Die fünfte kritische Schwachstelle (CVSS 9.1 | CVE-2026-109798) betrifft SAP BusinessObjects Business Intelligence Platform (Web Intelligence). Durch eine unzureichende Prüfung externer XML-Entitäten können authentifizierte Angreifer sensible Dateien auf dem Server auslesen und auf interne Systeme zugreifen, die normalerweise nicht erreichbar sind.

Welche SAP-Sicherheitsupdates jetzt Vorrang haben

Besonders kritisch ist die Schwachstelle im SAP Gateway, da bereits die Standardkonfiguration betroffen sein kann. Unternehmen sollten deshalb die Erreichbarkeit ihrer SAP-Systeme überprüfen, Zugriffskontrollen kontrollieren und die bereitgestellten Sicherheitskorrekturen zeitnah einspielen. Vorrang haben dabei Komponenten, die aus nicht vertrauenswürdigen Netzwerken erreichbar sind.