SAP NetWeaver AS ABAP Internet Communication Manager: Speicherkorruption ermöglicht Codeausführung ohne Authentifizierung (CVE-2026-76964)

Was passiert ist

Der CVE-Eintrag beschreibt eine Speicherkorruption im Internet Communication Manager (ICM) des SAP NetWeaver Application Server ABAP. Der SAP NetWeaver Application Server ABAP validiert bestimmte Netzwerkeingaben, die von einer internen Komponente verarbeitet werden, nicht ausreichend. Ein nicht authentifizierter Angreifer kann speziell gestalteten Netzwerkverkehr senden, um diesen Zustand auszulösen. Eine erfolgreiche Ausnutzung kann es dem Angreifer ermöglichen, beliebigen Code auszuführen und das System vollständig zu kompromittieren; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch.

Laut CVSS-3.1-Vektor ist der Angriff über das Netzwerk erreichbar, weist eine geringe Angriffskomplexität auf, erfordert keine Berechtigungen und keine Benutzerinteraktion und hat einen geänderten Scope. Der CVE-Eintrag enthält keine Hinweise auf aktive Ausnutzung oder eine öffentliche Offenlegung; eine Herstelleraussage zur Ausnutzung ist nicht erfasst.

Wer betroffen ist

Betroffen ist der Internet Communication Manager im SAP NetWeaver Application Server ABAP. Der CVE-Eintrag nennt folgende betroffene Releases: KRNL64UC 7.53, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 und 9.20.

SAP hat bislang weder eine korrigierte Version noch einen Workaround genannt. Ein Unternehmen, das eine dieser Releases einsetzt, sollte den Internet Communication Manager bis zu einer anderslautenden Aussage von SAP als betroffen behandeln.

Was jetzt zu tun ist

Da im CVE-Eintrag keine korrigierte Version und kein Workaround des Herstellers aufgeführt ist, sind Eindämmung und Überwachung die unmittelbaren Maßnahmen.

1. Prüfen Sie, ob Ihre SAP-ABAP-Anwendungsserver eine der genannten Releases einsetzen: KRNL64UC 7.53, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 oder 9.20.
2. Schränken Sie den Netzwerkzugriff auf den Internet Communication Manager ein. Entfernen Sie die Erreichbarkeit aus dem Internet und beschränken Sie den Zugriff auf vertrauenswürdige interne Systeme, Managementnetzwerke oder definierte Geschäftspartner.
3. Beobachten Sie den für diese CVE angegebenen SAP-Sicherheitshinweis sowie die Seiten zum SAP Security Patch Day auf eine korrigierte Version oder einen Workaround.
4. Verstärken Sie die Überwachung betroffener SAP-Hosts auf unerwartete Befehle, neue Prozesse oder ungewöhnliche ausgehende Verbindungen, bis SAP eine korrigierte Version veröffentlicht.

Wie man es erkennt

Der CVE-Eintrag enthält keine herstellerspezifischen Kompromittierungsindikatoren oder hostbasierten Signaturen. Beginnen Sie mit einer Erreichbarkeitsprüfung: Ermitteln Sie Ports des Internet Communication Manager, die aus nicht vertrauenswürdigen Netzwerken erreichbar sind, und gehen Sie einer unbeabsichtigten Erreichbarkeit aus dem Internet nach. Solange SAP keine Erkennungshinweise veröffentlicht, sollten ungewöhnlicher Netzwerkverkehr zum ICM sowie unerwartete Prozess- oder Befehlsaktivitäten auf SAP-Anwendungsservern als Anlass für eine Untersuchung behandelt werden.

Über den Patch hinaus

Eine Speicherkorruption in einer SAP-Komponente, die ohne Authentifizierung über das Netzwerk erreichbar ist, macht die Erreichbarkeit zum ersten Risiko, das es auszuschließen gilt. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, die Erreichbarkeit des Internet Communication Manager zu erfassen und zu reduzieren. Kommt es zu einer Codeausführung, lassen sich die Aktivitäten nach der Ausnutzung mit Managed Detection and Response (MDR) über EDR und SIEM erkennen. Unsere Praxis für SAP-HANA-Sicherheit und Cloud-Migration unterstützt bei SAP-spezifischer Härtung und Priorisierung.