Sicherheitswarnungen · 10. November 2026
SAP NetWeaver: Vier Lücken mit Höchstwertung erlauben Angriffe ohne Anmeldung
SAP hat am Patchday im November vier Lücken mit der Höchstwertung CVSS 10,0 geschlossen. Angreifer brauchen dafür weder Konto noch Mithilfe eines Benutzers.
Worum es geht
SAP NetWeaver AS ABAP, Web Dispatcher, SAP Gateway
Betroffen sind zentrale Bausteine von SAP-Systemen: der Internet Communication Manager (ICM), der Web Dispatcher, das SAP Gateway und die Anmeldung per SAML, also die zentrale Einmal-Anmeldung über einen Identitätsdienst. Bei ICM und Web Dispatcher kann präparierter Netzwerkverkehr dazu führen, dass Befehle auf dem Server laufen. Beim SAP Gateway kann sich ein Angreifer als vertrauenswürdiger Anwendungsserver ausgeben.
Bei der SAML-Anmeldung wurde auf manchen Systemen die Signatur nicht geprüft. Ein Angreifer kann sich dort als beliebiger Benutzer anmelden, auch als Administrator. Für diese Lücke gibt es laut SAP keine Übergangslösung, nur das Update.
Angriffe sind bisher nicht bekannt. Die Sicherheitsforscher, die die Fehler gefunden haben, haben aber funktionierende Angriffe vorgeführt. Erfahrungsgemäß werden SAP-Lücken dieser Art bald nach Bekanntwerden ausgenutzt.
Betroffen
- SAP Kernel und Web Dispatcher in mehreren Versionen von 7.22 bis 9.21
- SAP_BASIS 702 bis 758 sowie 816, 920, 921 und 922 (SAML-Anmeldung)
Behoben
- SAP-Hinweise 3778530, 3778556, 3798345 und 3849308 vom 10. November 2026
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Den SAP-Betreuer bzw. das Basis-Team fragen, ob die vier SAP-Hinweise vom November schon eingespielt sind.
- 02
Kernel und alle Web Dispatcher gemeinsam aktualisieren, auch Web Dispatcher, die vor anderen Systemen stehen.
- 03
Bei Systemen mit SAML-Anmeldung das Update vorziehen und die Protokolle auf auffällige Anmeldungen mit hohen Rechten prüfen.
- 04
Den Zugriff auf das SAP Gateway in der Firewall auf die Systeme beschränken, die ihn wirklich brauchen, und die Proxy-Einstellungen des Gateways prüfen lassen.
- 05
Sicherstellen, dass SAP-Systeme nur über den Web Dispatcher oder ein VPN aus dem Internet erreichbar sind.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 10. November 2026. Grundlage: The Hacker News · heise. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu