SAP NetWeaver ABAP: OS-Command-Injection erlaubt Angreifern mit niedrigen Berechtigungen, Betriebssystembefehle auszuführen (CVE-2026-76965)

Was passiert ist

Der CVE-Eintrag beschreibt eine fehlende Berechtigungsprüfung in bestimmten internen Funktionen des ABAP Application Server, der von SAP NetWeaver und ABAP Platform genutzt wird. Ein Angreifer, der bereits über ein Konto mit niedrigen Berechtigungen verfügt, kann diese Funktionen über das Netzwerk aufrufen und damit beliebige Betriebssystembefehle auf dem Host ausführen, auf dem der Application Server läuft.

Bei erfolgreicher Ausnutzung wird der Host kompromittiert, nicht nur eine isolierte Anwendung. Der CVSS-v3.1-Vektor lautet AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H: er ist über das Netzwerk erreichbar, die Angriffskomplexität ist gering, es sind niedrige Berechtigungen erforderlich, keine Benutzerinteraktion, der Scope ist geändert, und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. Der CVSS-Wert beträgt 9,9 und gilt als kritisch. Die CWE-Kennung lautet CWE-749.

Der CVE-Eintrag verzeichnet für diese Schwachstelle weder eine aktive Ausnutzung noch eine öffentliche Offenlegung.

Wer betroffen ist

Betroffen sind SAP NetWeaver und ABAP Platform. Im CVE-Eintrag sind folgende betroffene Versionen aufgeführt: KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.53, KERNEL 7.22, 7.54, 7.77 und 7.93. Bei diesen Angaben handelt es sich um Kernel-Versionen von ABAP Application Servern. Teams sollten daher die Kernel-Version auf jedem ABAP Application Server prüfen und nicht nur die Anwendungsebene betrachten.

Was jetzt zu tun ist

1. Prüfen Sie, ob Sie eine der betroffenen Kernel-Versionen von SAP NetWeaver oder ABAP Platform einsetzen: KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.53, KERNEL 7.22, 7.54, 7.77 oder 7.93.
2. Behandeln Sie dies als kritischen Zustand ohne verfügbaren Sicherheitspatch. Der CVE-Eintrag führt weder eine korrigierte Version noch eine Problemumgehung auf; daher gibt es noch keine Anleitung für einen Sicherheitspatch.
3. Beschränken Sie den Netzwerkzugriff auf die ABAP Application Server so, dass nur vertrauenswürdige interne Benutzer und Systeme die betroffenen Funktionen erreichen können.
4. Überprüfen Sie Konten mit niedrigen Berechtigungen und entfernen Sie nicht benötigte Rollen oder Berechtigungen. Da für die Ausnutzung ein Konto mit niedrigen Berechtigungen erforderlich ist, verringert eine Reduzierung dauerhaft zugewiesener Berechtigungen die Angriffsfläche.
5. Überwachen Sie Hosts, auf denen diese Kernel laufen, auf unerwartete Ausführung von Betriebssystembefehlen.
6. Verfolgen Sie den SAP Security Patch Day und den auf dieser Seite genannten SAP-Hinweis, um zu erfahren, wann eine korrigierte Version verfügbar ist. Zum Zeitpunkt der Veröffentlichung ist im CVE-Eintrag keine korrigierte Version aufgeführt.

Wie man es erkennt

Im CVE-Eintrag sind keine vom Hersteller veröffentlichten Indikatoren für eine Kompromittierung enthalten. Da die Schwachstelle das Einschleusen von Betriebssystembefehlen ermöglicht, sollten Sicherheitsteams auf unerwartete Betriebssystemprozesse achten, die von SAP-Workprozessen auf betroffenen Hosts gestartet werden. SAP-Sicherheitsauditprotokolle können außerdem ungewöhnliche interne Funktionsaufrufe von Benutzern mit niedrigen Berechtigungen zeigen; prüfen Sie diese im Zusammenhang mit dem betroffenen Host.

Über den Patch hinaus

Eine SAP-Systemlandschaft ist in der Regel geschäftskritisch, und diese Schwachstelle verwandelt ein Konto mit niedrigen Berechtigungen in eine Kontrollmöglichkeit auf Host-Ebene. Über diese Warnung hinaus liegt die eigentliche Sicherheitsmaßnahme darin, zu wissen, welche SAP-Kernel Sie einsetzen, und wie schnell Sie reagieren können, sobald eine korrigierte Version verfügbar ist. Unser Bereich SAP-HANA-Sicherheit & Cloud-Migration arbeitet direkt an SAP-Systemlandschaften, und Lieferkettenschutz & Drittanbieterrisiko unterstützt Sie dabei, Patch-Zyklen von Anbietern und Zeiträume erhöhter Gefährdung zu verfolgen, damit ein kritisches, noch nicht behobenes Problem früh erkannt wird.