Die kritische Netweaver Sicherheitslücke „S4GET“ erlaubt Angreifern mit reinem Netzwerkzugriff die vollständige Kontrolle über SAP-Applikationsserver – ganz ohne Anmeldung. Sicherheitsforscher warnen, die Lücke sei schwerer einzudämmen als der bekannte 10KBLAZE-Exploit von 2019.
SAP hat einen Notfall-Patch für eine kritische Schwachstelle im NetWeaver Message Server veröffentlicht, über die nicht authentifizierte Angreifer beliebigen Code auf betroffenen Systemen ausführen können. Das geht aus einer gemeinsamen Sicherheitswarnung von SAP und dem Cybersicherheitsunternehmen Onapsis hervor, die am 8. September 2026 veröffentlicht wurde.
Die als CVE-2026-58240 geführte und S4GET getaufte Schwachstelle erhält einen CVSS-Wert von 9,8 – nahe der maximalen Einstufung. Onapsis, das die Lücke im Rahmen seiner laufenden Partnerschaft zur koordinierten Offenlegung mit SAP entdeckte, beschreibt S4GET als Logikfehler und nicht als Fehlkonfiguration. Betroffen seien SAPs 9.x-Kernel-Linien, die SAP S/4HANA, SAP S/4HANA Cloud Private Edition sowie weitere ABAP-basierte Produkte antreiben. Ein Fix steht mit SAP Security Note 3759472 bereit.
Besonders brisant sei laut Onapsis die Erreichbarkeit der Lücke. Sie werde über denselben öffentlichen Port ausgelöst, über den jeder SAP-GUI-Client die Verbindung aufbaut – ein einfaches Blockieren per Firewall ist daher nicht möglich, ohne die reguläre Anmeldung der Nutzer zu unterbrechen. Für die Ausnutzung sind laut den Angaben weder Anmeldedaten noch Zertifikate noch eine bestehende Fehlkonfiguration erforderlich.
Onapsis-Forscher erläutern, dass der SAP Message Server als zentrale Vermittlungsstelle fungiert, die verfolgt, welche Applikationsserver aktiv sind, und Anmeldeanfragen weiterleitet. Eine weitere Komponente, das SAP Gateway, entscheidet anhand von Informationen des Message Servers, welche Hosts als vertrauenswürdig gelten. Durch ein präpariertes Datenpaket an den öffentlichen Port des Message Servers kann ein Angreifer eine beliebige IP-Adresse clusterweit als vertrauenswürdig einstufen lassen. Diese IP-Adresse kann sich anschließend mit dem Gateway verbinden, RFC-fähige externe Programme aufrufen und so Code-Ausführung mit den Rechten von sid-adm erlangen – dem Betriebssystem-Konto, unter dem SAP läuft, auf jedem betroffenen Applikationsserver.
Die üblichen SAP-Zugriffskontrolllisten, darunter secinfo, reginfo und ms/acl_info, greifen laut der Warnmeldung an dieser Stelle nicht, sodass auch korrekt konfigurierte Systeme betroffen bleiben.
Onapsis zieht einen direkten Vergleich zu 10KBLAZE, einer 2019 offengelegten Gruppe von SAP-Schwachstellen, die eine zu permissive Zugriffskontrollliste am internen Port des Message Servers ausnutzte. Während 10KBLAZE auf einer Fehlkonfiguration eines eigentlich nicht exponierten Ports beruhte, ist S4GET laut Unternehmensangaben über den öffentlich zugänglichen Port des Message Servers erreichbar, der in Unternehmensnetzwerken routinemäßig offen ist, um den alltäglichen SAP-GUI-Login zu ermöglichen.
Eine direkte Exposition des Message Servers im offenen Internet sei selten, so Onapsis, innerhalb eines Unternehmensnetzwerks sei die Erreichbarkeit jedoch eher die Regel als die Ausnahme. Jeder Angreifer mit Zugriff auf das interne Netzwerk – etwa über eine per Phishing kompromittierte Workstation oder eine gekaperte VPN-Sitzung – wäre demnach in der Lage, die Schwachstelle auszunutzen. Ein erfolgreicher Angriff könne zu Ransomware-Einsätzen, Datenvernichtung, dem Abfluss von Geschäftsdaten oder betrügerischen Transaktionen führen, mit möglichen Compliance-Folgen unter anderem nach DSGVO, NIS2 und SOX, so die Unternehmen.
Die Offenlegung folgt einem Muster, auf das Sicherheitsforscher bereits zuvor hingewiesen haben. Onapsis verwies auf CVE-2025-31324, eine Schwachstelle für nicht authentifizierten Datei-Upload in einer anderen NetWeaver-Komponente, die in freier Wildbahn ausgenutzt wurde, bevor viele Organisationen patchen konnten, und die laut dem M-Trends-Report 2026 von Mandiant die am häufigsten ausgenutzte Schwachstelle des Jahres war. Onapsis merkte zudem an, dass Angreifer SAP-Patches historisch innerhalb von rund 72 Stunden nach Veröffentlichung zurückentwickelt hätten – ein Zeitfenster, das sich laut Unternehmen durch KI-gestützte Werkzeuge weiter verkürze.
Zur Bewertung der eigenen Gefährdung empfehlen SAP und Onapsis, die Kernel-Version und den Patch-Level zu prüfen statt sich am eingesetzten SAP-Produkt zu orientieren, da die betroffenen Kernel-Linien durch Upgrades in mehreren Produktversionen auftauchen können. Laut SAP Security Note 3759472 sind Systeme verwundbar, wenn sie Kernel 9.16 unterhalb von Patch-Level 100, Kernel 9.18 unterhalb von Patch-Level 32, Kernel 9.19 unterhalb von Patch-Level 17 oder Kernel 9.20 unterhalb von Patch-Level 7 einsetzen. Die Kernel-Version lässt sich im SAP GUI unter System, Status, Kernel-Informationen einsehen oder auf Betriebssystemebene über den Befehl disp+work -version.
SAP und Onapsis raten zu einem gestuften Vorgehen bei der Behebung: zunächst eine Bestandsaufnahme aller Systeme mit betroffenem Kernel und Patch-Level, dann vorrangig jene Systeme patchen, bei denen der öffentliche Port des Message Servers direkt aus dem Internet erreichbar ist, und anschließend die intern erreichbaren Systeme bearbeiten, die laut den Unternehmen den Großteil der betroffenen Landschaften ausmachen dürften. Organisationen, die nicht sofort patchen können, wird empfohlen, als kompensierende Maßnahme gezielt auf Ausnutzungsversuche zu überwachen.
Nach eigenen Angaben hat Onapsis bis zur Veröffentlichung keine aktive Ausnutzung von S4GET in freier Wildbahn beobachtet; das unternehmenseigene Global Threat Intelligence Network beobachte die Lage weiter. Das Onapsis-Produkt Defend habe die Umgebungen der Kunden im Rahmen der koordinierten Offenlegung bereits vor der Patch-Veröffentlichung auf das Angriffsmuster überwacht, so das Unternehmen, während das Produkt Assess aktualisiert wurde, um Kunden bei der Identifikation betroffener Systeme in ihrer Landschaft zu unterstützen.
SAP und Onapsis veranstalteten am 9. September 2026 ein gemeinsames Webinar zur Schwachstelle.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de