CSRF-Schwachstelle in SAP Web Dispatcher und Internet Communication Manager könnte Kompromittierung des Betriebssystems ermöglichen (CVE-2026-89119)

Was passiert ist

CVE-2026-89119 ist eine Cross-Site-Request-Forgery-Schwachstelle in bestimmten administrativen Funktionen des SAP Web Dispatcher und des Internet Communication Manager im SAP NetWeaver Application Server ABAP. Dem CVE-Eintrag zufolge validieren diese Komponenten Anfragen nicht ausreichend, sodass ein Angreifer ohne vorherige Authentifizierung einen manipulierten Link vorbereiten kann. Besucht ein angemeldeter Administrator diesen Link, kann der Browser in dessen Sitzung unbeabsichtigte Aktionen ausführen.

Der CVSS-3.1-Vektor weist einen Basiswert von 9,6 auf; der Schweregrad ist kritisch. Der Angreifer benötigt keine Zugangsdaten, muss einen Administrator jedoch dazu bringen, den Link anzuklicken. Der CVE-Eintrag beschreibt, dass eine erfolgreiche Ausnutzung potenziell zu einer vollständigen Kompromittierung des zugrunde liegenden Betriebssystems führen kann, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Der CVE-Eintrag meldet weder eine öffentliche Bekanntgabe noch eine aktive Ausnutzung; außerdem ist die Schwachstelle nicht im KEV-Katalog der CISA aufgeführt.

Wer betroffen ist

Die Liste der betroffenen Produkte umfasst SAP Web Dispatcher und Internet Communication Manager in den Versionen WEBDISP 7.93 und 9.16, XS_ADVANCED_RUNTIME 1.00 sowie KERNEL 7.93, 9.20 und 9.21. Dabei handelt es sich um Komponenten für die Bereitstellung von Web-Anwendungen und die Internetkommunikation in SAP-ABAP-Umgebungen. Teams, die SAP Web Dispatcher oder NetWeaver AS ABAP mit Internet Communication Manager betreiben, sollten diese Versionen mit ihrer Systemlandschaft abgleichen.

Was jetzt zu tun ist

1. Verfolgen Sie den SAP-Sicherheitshinweis und die Seite SAP Security Patch Day, um aktualisierte Hinweise zur Behebung zu erhalten. Im CVE-Eintrag ist derzeit weder eine korrigierte Version noch eine Umgehungslösung aufgeführt.
2. Beschränken Sie den Zugriff auf die administrativen Funktionen von SAP Web Dispatcher und Internet Communication Manager auf vertrauenswürdige Verwaltungsnetze und vermeiden Sie, dass diese Schnittstellen direkt aus dem Internet erreichbar sind.
3. Nutzen Sie für administrative Sitzungen getrennte Browser-Profile und öffnen Sie keine Links oder Dokumente aus nicht vertrauenswürdigen Quellen, während Sie an diesen Konsolen angemeldet sind.
4. Prüfen Sie administrative und sicherheitsrelevante Protokolle auf unerwartete Änderungen an der Konfiguration oder am Betriebssystem, insbesondere für den Zeitraum, in dem ein Administrator möglicherweise einen nicht vertrauenswürdigen Link geöffnet hat.

Über den Patch hinaus

Obwohl die Schwachstelle über das Netzwerk erreichbar ist und unter CVSS 3.1 keine Berechtigungen erfordert, ist der Angreifer dennoch darauf angewiesen, dass ein Administrator einen Link anklickt. Daher ist das Cyber Awareness-Training als Managed Service unmittelbar relevant, bis SAP eine korrigierte Version veröffentlicht. Mit Virtual CISO Services unterstützen wir Sie dabei, zu prüfen, wo die Administrationsschnittstellen erreichbar sind und ob diese Erreichbarkeit erforderlich ist.