SAP Patch Day Oktober 2026: Vier kritische Schwachstellen

Zum SAP Patch Day Oktober 2026 hat SAP vier kritische Sicherheitslücken veröffentlicht. Eine Schwachstelle im SAP Cloud SDK for Python erreicht den maximalen CVSS-Wert von 10,0. Weitere kritische Sicherheitslücken betreffen SAP NetWeaver Visual Composer, S/4HANA und SAP Manufacturing Integration and Intelligence (MII).

Am 13. Oktober 2026 hat SAP 16 neue Security Notes und vier GitHub Security Advisories veröffentlicht. Hinzu kommen zwei aktualisierte Sicherheitshinweise. Vier neue Schwachstellen gelten als kritisch, drei weitere sind mit der Risikostufe „Hoch“ bewertet. Betroffen sind Cloud-Komponenten, klassische SAP-Systeme und produktionsnahe Anwendungen.

SAP Cloud SDK for Python: Höchster CVSS-Wert von 10,0

Die schwerwiegendste Schwachstelle (CVE-2026-89111) betrifft das SAP Cloud SDK for Python und erreicht den maximalen CVSS-Wert von 10,0. Durch eine Server-Side-Request-Forgery-Schwachstelle (SSRF) können nicht authentifizierte Angreifer OAuth2-Anfragen umleiten und vertrauliche Client-Zugangsdaten abgreifen.

Betroffen sind SDK-Versionen vor 0.45.2. Unternehmen sollten die Bibliothek aktualisieren und prüfen, ob Zugangsdaten kompromittiert wurden. Das Risiko reicht über die betroffene Anwendung hinaus, falls dieselben Zugangsdaten den Zugriff auf weitere Cloud-Dienste ermöglichen.

NetWeaver Visual Composer: Kritische Zugriffskontrolle

CVE-2026-89110 (CVSS 9,9) betrifft SAP NetWeaver Visual Composer. Durch fehlerhafte Zugriffskontrollen können Angreifer mit geringen Berechtigungen interne Operationen auf angebundenen Systemen auslösen.

Der Visual Composer war bereits 2025 von einer aktiv ausgenutzten Sicherheitslücke betroffen. Die neue Schwachstelle ist davon unabhängig, unterstreicht aber die anhaltenden Risiken älterer NetWeaver-Komponenten. Unternehmen sollten deshalb auch prüfen, ob die Komponente noch benötigt wird und welche Systeme darüber erreichbar sind.

SAP S/4HANA: Code-Injection gefährdet Geschäftsdaten

CVE-2026-89107 (CVSS 9,9) ermöglicht in SAP S/4HANA unter bestimmten Voraussetzungen die Ausführung beliebigen ABAP-Codes. Betroffen ist die Funktion „Manage Substitution/Validation Rules“ in den S4CORE-Versionen 105 bis 109.

Die Schwachstelle kann die Integrität von Geschäftsdaten und Prozessen gefährden. Neben dem Sicherheitspatch empfiehlt es sich deshalb, die Berechtigungen zur Pflege entsprechender Regeln zu kontrollieren.

SAP MII: Sicherheitslücke in produktionsnaher Integration

CVE-2026-89108 (CVSS 9,1) dreht sich um den Configuration Service von SAP Manufacturing Integration and Intelligence (MII). Eine fehlende Berechtigungsprüfung ermöglicht unzureichend autorisierte Zugriffe auf Konfigurationsfunktionen.

Da SAP MII häufig Fertigungssysteme mit Unternehmensanwendungen verbindet, können Sicherheitsprobleme auch angebundene Systeme betreffen. Unternehmen sollten die Erreichbarkeit des Configuration Service und die vergebenen Berechtigungen überprüfen.

Weitere Sicherheitslücken mit hoher Risikobewertung

Die als hoch eingestuften Schwachstellen betreffen eine SQL-Injection-Lücke in SAP Commerce Cloud (CVE-2026-89113, CVSS 8,8), einen Speicherverwaltungsfehler im Internet Communication Manager von SAP NetWeaver und Web Dispatcher (CVE-2026-58249, CVSS 7,5) sowie eine fehlende Berechtigungsprüfung in der SAP ABAP Platform (CVE-2026-89120, CVSS 7,1).