SAP NetWeaver S4CRM: Fehlende Berechtigungsprüfung ermöglicht Remotecodeausführung (CVE-2026-109795)

Was passiert ist

CVE-2026-109795 ist eine Code-Injection-Schwachstelle (CWE-94). Sie wird durch eine fehlende Berechtigungsprüfung und unzureichende Eingabevalidierung in bestimmten remote-fähigen Funktionen von SAP NetWeaver verursacht, die von S4CRM, S4CEXT und BBPCRM genutzt werden. Ein Angreifer mit geringen Berechtigungen kann über eine Remote-Schnittstelle speziell gestaltete Eingaben senden und innerhalb des betroffenen Systems beliebigen Code ausführen.

Die Ausführung wird mit einem CVSS-3.1-Basiswert von 9,9 als kritisch eingestuft. Der Angriff erfolgt über das Netzwerk mit geringer Komplexität, erfordert geringe Berechtigungen und keine Benutzerinteraktion; zudem verändert er den Scope. Eine erfolgreiche Ausnutzung kann die Reichweite des Angreifers über die betroffene Komponente hinaus ausdehnen. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch.

Der CVE-Eintrag meldet keine aktive Ausnutzung und keine öffentliche Offenlegung.

Wer betroffen ist

Betroffen sind die Releases S4CRM 204, 205 und 206, S4CEXT 107, 108 und 109 sowie BBPCRM 713 und 714. Dabei handelt es sich um SAP NetWeaver-Komponenten, die im CVE-Eintrag genannt werden. Im CVE-Eintrag sind keine korrigierten Versionen aufgeführt.

Was jetzt zu tun ist

1. Prüfen Sie, ob in Ihrer SAP-Landschaft eine der folgenden Versionen eingesetzt wird: S4CRM 204, 205 oder 206, S4CEXT 107, 108 oder 109 oder BBPCRM 713 oder 714.
2. Behandeln Sie betroffene Systeme als exponiert: Im CVE-Eintrag sind für diese Schwachstelle weder eine korrigierte Version noch eine Problemumgehung aufgeführt.
3. Schränken Sie den Zugriff auf die betroffenen remote-fähigen Funktionen ein. Erlauben Sie nur vertrauenswürdige Benutzer und Netzwerke und überprüfen Sie Konten mit geringen Berechtigungen, die die Schnittstelle erreichen können.
4. Überwachen Sie die Aktivitäten der remote-fähigen Funktionen und die SAP-Sicherheitsauditprotokolle auf unerwartete Aufrufe oder Anzeichen für Codeausführung, solange keine korrigierte Version verfügbar ist.
5. Prüfen Sie den SAP-Sicherheitshinweis und die in den Referenzen verlinkte Seite zum SAP Security Patch Day auf eine korrigierte Version und wenden Sie die Hinweise von SAP an, sobald sie veröffentlicht sind.

Wie man es erkennt

SAP hat für diese Schwachstelle keine spezifischen Indikatoren veröffentlicht. Solange keine korrigierte Version verfügbar ist, überwachen Sie die SAP-Sicherheitsauditprotokolle und die Aktivitäten der remote-fähigen Schnittstellen auf ungewöhnliche Funktionsaufrufe, unerwartete Änderungen an Konten oder Berechtigungen sowie Anzeichen für die Ausführung beliebigen Codes auf betroffenen Hosts.

Über den Patch hinaus

Eine Berechtigungsgrenze, die bereits aus einer Position mit geringen Berechtigungen überschritten werden kann, macht die Verringerung der Angriffsfläche und das Erkennen weiterer Aktivitäten des Angreifers zu den unmittelbaren Aufgaben. Unser Bereich SAP-HANA-Sicherheit & Cloud-Migration untersucht SAP-Landschaften auf fehlende Berechtigungssteuerungen und exponierte Remote-Schnittstellen. Kommt es zu einer Codeausführung, überwacht Managed Detection & Response (MDR) Codeausführung und Kontenmissbrauch. Mit regelmäßigen Tests im Rahmen der Implementierungs- und Bewertungsleistungen lassen sich Code-Injection-Lücken und fehlende Berechtigungsprüfungen erkennen, bevor es zu einem Vorfall kommt.