Die neu bekannt gewordene Schwachstelle mit der Kennung CVE-2026-44756, genannt OVERPASS, erlaubt Angreifern ohne Authentifizierung die vollständige Übernahme von SAP-Systemen. Die Onapsis Research Labs haben die Schwachstelle entdeckt und betonen: Nur ein einziger Kernel-Patch schließt sie vollständig.
SAP hat einen Notfall-Patch für eine Schwachstelle veröffentlicht, die mit der höchstmöglichen Risikobewertung eingestuft wurde, nachdem Forscher von Onapsis einen Weg gefunden hatten, ohne Passwort beliebige Betriebssystembefehle auf SAP-Systemen auszuführen. Die Lücke, geführt als CVE-2026-44756 und OVERPASS genannt, steckt in gemeinsam genutztem Kernel-Code und ist über drei getrennte Wege erreichbar, sodass sich das Risiko nicht durch eine einzelne Netzwerkmaßnahme vollständig eindämmen lässt.
Laut den Onapsis Research Labs, die die Schwachstelle entdeckt und im Rahmen einer koordinierten Offenlegung an SAP gemeldet haben, liegt das Problem darin, wie der SAP-Kernel den Extended Passport (EPP) verarbeitet, eine Tracing-Struktur, die SAP selbst als Mittel zur Analyse von Aufrufsequenzen in verteilten Systemlandschaften beschreibt. Da die EPP-Verarbeitung protokollübergreifend gemeinsam genutzt wird, lässt sich die Schwachstelle über die internetzugängliche Web-Schicht, über die SAP-GUI-Schicht, mit der sich jeder Endanwender verbindet, sowie über die RFC-Schicht auslösen, die SAP-Systeme untereinander verbindet.
SAP hat das Problem am 8. September 2026 im Rahmen des regulären Patch Day behoben und den Security Note 3747649 veröffentlicht. Die Schwachstelle erreicht einen CVSS-Wert von 10.0, die höchstmögliche Bewertung, und lässt sich ohne Authentifizierung ausnutzen. Onapsis erklärt, bis zur Veröffentlichung keine aktive Ausnutzung in freier Wildbahn beobachtet zu haben, beobachte die Bedrohungslage jedoch weiterhin.
Warum der Zeitpunkt entscheidend ist
Dass Authentifizierungsmaßnahmen hier keinen Schutz bieten, liegt an der Architektur und nicht an einer Konfigurationslücke: Der EPP wird ganz zu Beginn einer Sitzung verarbeitet, bevor die üblichen SAP-Prüfungen wie Benutzersperren, Rollen, Berechtigungsobjekte und Anmelderichtlinien greifen. Laut Onapsis ist dies der zentrale Grund, warum ausschließlich das Patchen und nicht die Einschränkung des Zugriffs das Problem vollständig behebt.
Eine erfolgreiche Ausnutzung würde einem Angreifer laut den Forschern dieselben Betriebssystemrechte verschaffen wie dem Konto, unter dem SAP läuft, was faktisch der vollständigen Übernahme des Systems entspricht: mit der Möglichkeit, gespeicherte Zugangsdaten auszulesen, sich lateral zu verbundenen SAP-Systemen zu bewegen sowie Anwendungsdaten, Konfigurationen und die SAP-Binärdateien selbst zu verändern.
Onapsis ordnet die geschäftlichen Auswirkungen vier Kategorien zu: Sabotage (Ransomware, Datenbankmanipulation), Spionage (Abfluss von Finanz-, Personal- und IP-Daten), Betrug (privilegierte Konten, manipulierte Bankverbindungen) sowie regulatorisches Risiko, da ein solcher Vorfall unter Regularien wie SOX, NIS2, DSGVO, HIPAA oder PCI-DSS meldepflichtig sein könnte.
Große Angriffsfläche, drei Zugangswege
Der betroffene Code befindet sich im SAP-Kernel, der unter anderem SAP S/4HANA, ECC, SAP NetWeaver Application Server ABAP, SAP Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO und SAP Solution Manager trägt, so Onapsis. Das Unternehmen rät Organisationen, bis zum Beweis des Gegenteils davon auszugehen, dass betroffene Systeme existieren.
Onapsis zufolge identifizierte ein gezielter Internet-Scan mehr als 10.000 eindeutige IP-Adressen mit einer öffentlich erreichbaren SAP-Weboberfläche, eine nach eigenen Angaben konservative Zahl, da sie SAP-Web-Dispatcher-Instanzen ausschließt, die kein eindeutig identifizierbares SAP-Banner zurückliefern. Die Exposition konzentriert sich laut den Forschern auf die USA, Deutschland, Indien und China und betrifft sowohl On-Premises- als auch Cloud-Umgebungen.
Ein zweiter, weniger sichtbarer Weg führt über die SAP-GUI-Schicht, die selten direkt im Internet erreichbar ist, konstruktionsbedingt jedoch aus großen Teilen des internen Netzwerks erreicht werden kann. Ein Angreifer mit Fuß in der Tür, etwa über Phishing oder eine kompromittierte VPN-Sitzung, ist damit bereits in Position. Ein dritter Weg verläuft über RFC-Verbindungen zwischen SAP-Systemen.
Parallelen zu früheren Vorfällen
Onapsis vergleicht OVERPASS mit ICMAD, einer 2022 offengelegten Schwachstellengruppe im gemeinsamen SAP-Kernel-Code, die ebenfalls den Höchstwert von 10.0 erreichte. Das Unternehmen verweist zudem auf CVE-2020-6287 (RECON), dessen Patch Angreifer binnen rund 72 Stunden zurückentwickelten, sowie auf CVE-2025-31324, laut Mandiants M-Trends-2026-Report die am häufigsten ausgenutzte Schwachstelle des Vorjahres, nachdem sie bewaffnet wurde, bevor viele Organisationen patchen konnten.
Empfohlenes Vorgehen
Onapsis empfiehlt, zunächst alle SAP-Systeme zu inventarisieren, einschließlich vergessener oder nicht produktiver Instanzen, und deren Kernel-Patch-Stand zu erfassen. Anschließend sollten internetzugängliche Systeme vorrangig gepatcht werden, gefolgt von internen Systemen, die laut Onapsis nicht weniger wichtig, sondern lediglich später an der Reihe sind. Ist ein sofortiges Patchen nicht möglich, rät das Unternehmen zu eingeschränkter Netzwerkerreichbarkeit und Monitoring als Übergangsmaßnahme, ergänzt durch SAPs FAQ-Hinweis 3776034 und Workaround-Empfehlungen im Hinweis 3756304.
Onapsis weist zudem darauf hin, dass klassische SAP-Zugriffskontrollen wie Berechtigungsrollen und Funktionstrennung (Segregation of Duties) auf diesen Angriffsweg keinen Einfluss haben, da der verwundbare Code vor jeder Authentifizierungsprüfung ausgeführt wird.
SAP und Onapsis veranstalten am 9. September 2026 um 16.00 Uhr deutscher Zeit ein gemeinsames Briefing zu dieser und weiteren Schwachstellen aus dem September-Patch-Day. Hier können Sie sich registrieren: https://onapsis.com/event/sept-patch-day-26-vulns/?utm_campaign=2026-Q3-global-septsapwebinar&utm_medium=website&utm_source=onapsis&utm_content=blogreg
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de