// HEISE ONLINE — CYBERSECURITY
Patchday SAP: Angreifer können Systeme übernehmen
Es sind wichtige Sicherheitsupdates unter anderem für SAP Cloud SDK for Python erschienen. Admins sollten zeitnah handeln.
Mehrere Sicherheitslücken in Business-Software von SAP gefährden geschäftliche Informationen. Angreifer können sich unter anderem Zugriff auf eigentlich abgeschottete Daten verschaffen. Sicherheitspatches stehen zum Download bereit. Insgesamt hat SAP 16 neue Sicherheitshinweise und 4 GitHub-Advisories veröffentlicht.
Wie aus dem Sicherheitsbereich der SAP-Website hervorgeht, gelten vier Schwachstellen als „kritisch“. Für eine Lücke (CVE-2026-89111) in SAP Cloud SDK for Python gilt der maximale CVSS-Score 10 von 10. An dieser Stelle können Angreifer auf einem nicht näher beschriebenen Weg im Kontext von OAuth2 den tenant_subdomain-Parameter manipulieren.
Da das SDK diesen Wert aufgrund eines Fehlers ungeprüft in die URL für die Tokenanfrage einbaut, wird die Anwendung gezwungen, die eigenen Client Credentials (Geheimnisse) an einen vom Angreifer kontrollierten Server zu senden. Mit diesen Zugangsdaten erhält er Zugriff auf alle Ressourcen, für die die Anwendung berechtigt ist (z. B. Daten in S/4HANA, SuccessFactors oder anderen BTP-Diensten). Dagegen soll SAP Cloud SDK for Python 0.45.2 gerüstet sein.
Aufgrund einer fehlerhaften Zugriffskontrolle können Angreifer mit niedrigen Nutzerrechten unbefugt auf SAP NetWeaver Visual Composer zugreifen und Systeme komplett übernehmen (CVE-2026-89110 „kritisch“). Sind Angreifer angemeldet, können sie mit präparierten Anfragen Fehler in SAP S/4HANA auslösen und so Schadcode ausführen (CVE-2026-89107 „kritisch“). Nutzen Angreifer eine Lücke (CVE-2026-89108 „kritisch“) in SAP Manufacturing Integration and Intelligence erfolgreich aus, können sie als Admin Systeme kompromittieren.
Weiterhin sind unter anderem SAP Commerce Cloud, SAP NetWeaver mit SAP Web Dispatcher und SAP ABAP Platform verwundbar. Bislang gibt es vom Softwarehersteller keine Hinweise, dass Angreifer die Sicherheitslücken bereits ausnutzen. Das kann sich aber schnell ändern, sodass Admins zeitnah reagieren und die Patches installieren sollten.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.