SAPs September-Patchday 2026 bringt 22 neue und aktualisierte Security Notes — darunter eine nicht authentifizierte SAP-Kernel-Lücke mit maximalem Schweregrad, die Forscher OVERPASS getauft haben.
SAP hat im September 2026 seine monatlichen Sicherheitspatches veröffentlicht und dabei 22 neue und aktualisierte Security Notes adressiert — fünf davon mit der höchsten Einstufung HotNews und sechs mit der Priorität „High“. Im Zentrum steht eine Schwachstelle mit maximalem Schweregrad im SAP-Kernel, die die gemeinsam mit SAP an der Behebung beteiligten Onapsis Research Labs OVERPASS getauft haben.
SAPs September-Patchday 2026 fiel ungewöhnlich kritisch aus: Im Zentrum steht eine Schwachstelle mit maximalem Schweregrad im SAP-Kernel, über die ein nicht authentifizierter Angreifer betroffene Systeme aus der Ferne übernehmen könnte. Der Hersteller veröffentlichte 22 neue und aktualisierte Security Notes, darunter fünf HotNews-Notes — die höchste Einstufung von SAP — sowie sechs mit der Priorität „High“.
Sechs der Notes entstanden in Zusammenarbeit mit den Onapsis Research Labs (ORL), dem Forschungsbereich des SAP-Sicherheitsanbieters Onapsis. Dessen Team gibt an, SAP beim Schließen von acht einzelnen Schwachstellen in diesen sechs Notes unterstützt zu haben, drei davon mit HotNews-Einstufung.
Am dringendsten ist SAP Security Note #3747649 mit dem maximalen CVSS-Wert von 10.0. Sie behebt eine Memory-Corruption-Schwachstelle in der Verarbeitung des SAP Extended Passport (EPP). Die Onapsis-Forscher, die die Lücke OVERPASS getauft haben, führen sie auf fehlende Grenzwertprüfungen bei der Deserialisierung von EPP-Daten zurück: Verarbeitet das System ein von außen übergebenes Längenfeld, kann dies eine Speicherverletzung auslösen. Ein Angreifer ohne Zugangsdaten könnte dies aus der Ferne ausnutzen, indem er einen manipulierten EPP-Header sendet — mit der Folge abstürzender Prozesse oder der Ausführung beliebiger Betriebssystembefehle mit den administrativen Rechten von SAP selbst, also einer vollständigen Systemkompromittierung. SAP stellt Patches für den ABAP- und Java-Kernel sowie für den SAP Web Dispatcher Version 9.16 bereit; andere Web-Dispatcher-Versionen, einschließlich der in SAP HANA Extended Application Services integrierten Variante, sind nicht betroffen. Onapsis rät zu sofortigem Patchen, da die Lücke über mehrere SAP-Komponenten und Protokolle erreichbar ist, von denen keines eine Authentifizierung voraussetzt — eine einzelne Netzwerkmaßnahme kann das Risiko daher nicht vollständig eindämmen.
Eine zweite Note mit maximalem Schweregrad, #3771065, aktualisiert eine bereits im August veröffentlichte Korrektur einer Improper-Authorization-Schwachstelle im SAP Commerce Cloud Data Hub Adapter. Die überarbeitete Note stellt klar, dass unveränderte Commerce-Cloud-Umgebungen standardmäßig nicht betroffen sind, und verweist auf eine begleitende FAQ zur Überprüfung der eigenen Konfiguration.
Der dritte gemeinsam mit Onapsis entwickelte HotNews-Eintrag, Note #3759472 (CVSS 9,8), behebt eine von den Forschern S4GET getaufte Schwachstelle im SAP NetWeaver Message Server, der die Identität interner Application-Server-Komponenten bei deren Registrierung nicht ausreichend prüft. Da der Message Server zentral für die Kommunikation der SAP-Kernel-Prozesse ist, könnte ein nicht authentifizierter Angreifer mit Netzwerkzugang nicht autorisierte Komponenten registrieren und unerlaubte Aktionen innerhalb der Umgebung ausführen. Die betroffenen Kernel-Versionen 9.16 bis 9.20 umfassen laut Onapsis die gesamte aktuelle Kernel-Familie von SAP — betroffen ist damit jedes SAP-S/4HANA-2025-System sowie jedes ältere Release, das bereits auf einen dieser Kernel migriert wurde.
Die HotNews-Gruppe komplettieren Note #3798315 (CVSS 9,4), eine Credential-Disclosure-Schwachstelle in einer Drittanbieter-NPM-Bibliothek, die von Mandanten-Anwendungen auf Basis des SAP Cloud Application Programming Model genutzt wird, sowie Note #3781729 (CVSS 9,0), die eine Lücke in der Durchsetzung der Vertrauensrichtlinie in SAP GUI for Java schließt. Über diese Lücke könnte ein Nutzer mit geringen Rechten über eine manipulierte Backend-Verbindung beliebige Befehle auf dem Rechner des Opfers ausführen. Wegen der Credential-Disclosure-Lücke verlieren SAP-Cloud-Foundry-Kunden mit ungepatchten Anwendungen vorübergehend die Möglichkeit, Mandanten-Erweiterungen zu ändern; für Kunden außerhalb von Cloud Foundry beschreibt eine separate FAQ-Note einen Workaround.
Unter den sechs High-Priority-Notes sticht eine XML-External-Entity-Schwachstelle in der SAP Integration Suite (#3792978, CVSS 8,5) durch ihre betrieblichen Auswirkungen hervor: Die gepatchten iFlow-Pakete deaktivieren die Auflösung externer Entitäten vollständig, was laut Onapsis Integrationsszenarien beeinträchtigen kann, die bewusst auf diese Funktion angewiesen sind. Weitere High-Priority-Korrekturen betreffen den SAP NetWeaver Business Client, den SAP NetWeaver Application Server für ABAP, eine Denial-of-Service-Schwachstelle in einer Drittanbieter-Komponente der S/4HANA-Funktion Manage Supply Protection sowie ein Request-Smuggling-Problem in SAP Commerce Cloud, das auf der zugrunde liegenden Jetty-Komponente beruht.
Onapsis‘ Beitrag ging über die HotNews-Ebene hinaus: Das Unternehmen unterstützte SAP eigenen Angaben zufolge auch bei drei Medium-Priority-Notes mit jeweils einem CVSS-Wert von 6,5 — einer SQL-Injection-Schwachstelle im S/4HANA-Modul Intercompany Matching and Reconciliation, einer Server-Side-Request-Forgery-Lücke in SAP Manufacturing Integration and Intelligence sowie einer Information-Disclosure-Schwachstelle, die SAP Web Dispatcher, den Internet Communication Manager und den SAP Content Server betrifft.
SAP und Onapsis veranstalten am 9. September um 10 Uhr EDT ein gemeinsames Webinar, um Kunden über die OVERPASS-Schwachstelle und die übrigen kritischen Korrekturen des Monats zu informieren. Onapsis erklärte, die eigene Plattform bereits an die neu veröffentlichten Schwachstellen anzupassen, und empfiehlt Unternehmen, beim Patchen nach Ausnutzbarkeit zu priorisieren — beginnend mit OVERPASS, da die Lücke keine Authentifizierung erfordert und über mehrere Netzwerkpfade ausgelöst werden kann.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de