Der SAP Patchday im August 2026 bringt 29 Sicherheitshinweise. Kritische Schwachstellen in SAP MII und NetWeaver bedrohen die Unternehmensinfrastruktur.
Der Softwareriese SAP hat seine Security Notes für August 2026 veröffentlicht und ruft IT-Sicherheitsteams weltweit zum schnellen Handeln auf. Insgesamt 29 neue und aktualisierte Sicherheitshinweise umfassen vier kritische „HotNews“-Notes sowie neun Meldungen hoher Priorität. Im Mittelpunkt stehen gravierende Sicherheitslücken in SAP Manufacturing Integration and Intelligence (SAP MII), die in Zusammenarbeit mit den Onapsis Research Labs behoben wurden.
IT-Abteilungen und Cybersecurity-Verantwortliche stehen diesen Monat vor einer arbeitsreichen Update-Welle: SAP hat seine Security Notes für den August 2026 veröffentlicht. Mit insgesamt 29 Hinweisen für eine Vielzahl von Systemarchitekturen müssen Unternehmen, die auf SAP NetWeaver, die ABAP-Plattform oder Industrie-Lösungen wie SAP MII setzen, umgehend Sicherheitsprüfungen durchführen und Patches einspielen.
Kritische Code-Injections gefährden die Produktion
Die schwerwiegendsten Schwachstellen betreffen diesen Monat die Lösung SAP Manufacturing Integration and Intelligence (SAP MII), die als Schnittstelle zwischen ERP-Systemen und der Fertigungsebene dient. Zwei neue „HotNews“-Hinweise mit maximalen CVSS-Bewertungen schließen kritische Code-Injection-Lücken in Servlet-Komponenten.
SAP Security Note #3765948 (CVSS 9.9) beschreibt eine Schwachstelle, durch die Angreifer mit geringen Privilegien über präparierte Eingaben externe Inhalte laden können. Dies kann zur Ausführung beliebiger Betriebssystembefehle führen und die gesamte Infrastruktur gefährden. Nach Einspielen des Patches müssen Administratoren die Systemeigenschaft Secure Transformer konfigurieren, um erlaubte XSL-Hosts einzuschränken.
Parallel dazu behebt SAP Note #3758900 (CVSS 9.1) eine Lücke bezüglich Server-Side Template Injection (SSTI) und Server-Side Request Forgery (SSRF) in SAP MII. Hierbei entfernt SAP die betroffene Servlet-Komponente vollständig.
Speicherfehler bedrohen NetWeaver und ABAP-Plattformen
Neben Fertigungssystemen sind auch Kernkomponenten betroffen. HotNews Note #3714806 (CVSS 9.8) schließt eine kritische Memory-Corruption-Lücke im DIAG-Protokoll-Parser von SAP NetWeaver AS ABAP. Unauthentifizierte Angreifer könnten durch gezielte Anfragen Systemabstürze verursachen oder vertrauliche Speicherdaten auslesen. Zudem wurde Note #3747367 (CVSS 9.9) aus dem Vormonat mit wichtigen Anweisungen zur Stabilität aktualisiert.
Hohe Priorität: Von Entwickler-Werkzeugen bis zur Cloud
Neun weitere Hinweise hoher Priorität verlangen schnelle Aufmerksamkeit:
- Rechteausweitung in ABAP Developer Tools (#3772411, CVSS 8.8): Erlaubt unbefugte Datenbankoperationen durch dynamische Host-Ausdrücke in SQL-Anweisungen.
- Buffer Overflow in Commerce Cloud (#3773203, CVSS 8.1): NGINX-basierte Cloud-Deployments sind anfällig für Speicherfehler und Arbitrary Code Execution.
- Offenlegung von Zugangsdaten in BusinessObjects (#3756565, CVSS 7.9): Hartkodierte Schlüssel ermöglichen die Entschlüsselung lokaler Benutzer-Anmeldedaten.
- Gefahr im Transport-Tool CTS+ (#3773304, CVSS 7.6): SAP weist darauf hin, dass es keine sichere Version des CTS+ Attach Tools gibt und empfiehlt die vollständige Entfernung gemäß Note #2473648.
Beitrag der Sicherheitsforschung Die Onapsis Research Labs spielten eine entscheidende Rolle bei den aktuellen Veröffentlichungen und unterstützten SAP bei der Schließung von 14 Schwachstellen. Neben den schwerwiegenden MII-Lücken wurden unter anderem SQL-Injections in SAP Social Intelligence (#3766473) und Speicherfehler im SAPSPrint-Dienst (#3725940) behoben. Unternehmen sollten ihre Systeme unverzüglich anhand der CVSS-Prioritäten absichern.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de