SAP Woche 42 2026: Vier kritische Schwachstellen stechen unter 20 CVEs hervor

Das Release im Überblick

Der SAP-Sicherheitshinweis für Woche 42 des Jahres 2026, der den Zeitraum 12. bis 18. Oktober abdeckt, listet 20 CVEs über die gesamte SAP-Landschaft. Vier werden als kritisch, drei als hoch, zwölf als mittel und eine als niedrig eingestuft. Die Veröffentlichung betrifft NetWeaver Enterprise Portal, NetWeaver Visual Composer, SAP S/4HANA, Commerce Cloud, Manufacturing Integration and Intelligence, SAP Cloud SDK, SAP ABAP Platform, SAPUI5 und mehrere kleinere Komponenten. Keine CVE aus dem dieswöchigen Paket erscheint in der CISA KEV. Für CVE-2026-89111 gibt es auf dieser Website eine eigene Schwachstellen-Warnung.

Was am meisten zählt

CVE-2026-89111 in SAP Cloud SDK for Python ist mit 10,0 der am höchsten bewertete Eintrag. Es handelt sich um eine OAuth2-SSRF-Schwachstelle in mandantenfähigen SAP-BTP-Anwendungen: Indem ein Angreifer tenant_subdomain kontrolliert, kann er OAuth2-Token-Anforderungen an einen von ihm kontrollierten Server umleiten und Client-Anmeldeinformationen abgreifen. Der Vektor erfordert keine Berechtigungen und keine Benutzerinteraktion; in den öffentlichen Hinweisdaten ist keine korrigierte Version aufgeführt.

CVE-2026-89107 in SAP S/4HANA Manage Substitution/Validation Rules ist eine Code-Injection-Schwachstelle mit CVSS 9,9. Ein authentifizierter Angreifer mit bestimmten Geschäftsberechtigungen kann Eingaben übermitteln, die die Regelverarbeitung als ausführbaren ABAP-Code behandelt; der Sicherheitshinweis beschreibt hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Betroffen sind die Versionen S4CORE 105, 106, 107, 108 und 109.

Bei CVE-2026-89110 in SAP NetWeaver Visual Composer (VC70RUNTIME 7.50) handelt es sich um eine Schwachstelle durch fehlerhafte Zugriffskontrolle, die ebenfalls mit 9,9 bewertet ist. Ein Benutzer mit geringen Berechtigungen kann interne Operationen auf einem vorkonfigurierten entfernten System auslösen; je nach Konfiguration der entfernten Verbindung könnte dieses System dadurch gefährdet werden.

CVE-2026-89108 in SAP Manufacturing Integration and Intelligence Configuration Service (XMII 15.4 und 15.5) erreicht CVSS 9,1. Es fehlt eine Berechtigungsprüfung: Ein MII-Administrator kann ein Konto mit erweiterten Berechtigungen auf dem zugrunde liegenden Java-Anwendungsserver anfordern, wodurch die Auswirkungen über die Anwendung hinausreichen.

CVE-2026-89113 in SAP Commerce Cloud (COM_CLOUD 2211-JDK21) ist eine SQL-Injection-Schwachstelle mit hohem Schweregrad und CVSS 8,8. Ein authentifizierter Benutzer kann SQL-Befehle einschleusen und Datenbankdaten lesen, verändern oder löschen.

CVE-2026-58249 in SAP NetWeaver und im Internet Communication Manager des SAP Web Dispatcher ist eine Speicherkorruptions-Schwachstelle mit hohem Schweregrad und CVSS 7,5. Sie ist ohne Authentifizierung erreichbar und kann den betroffenen Prozess zum Absturz bringen. Zu den betroffenen Versionen zählen HDB 2.00, KRNL64UC 7.53, WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16 und XS_ADVANCED_RUNTIME 1.00.

CVE-2026-89120 in SAP ABAP Platform (KERNEL 7.93 und 9.16) ist eine fehlende Berechtigungsprüfung mit hohem Schweregrad und CVSS 7,1, die durch eine API-Regression ausgelöst wird; ein Angreifer mit geringen Berechtigungen kann Einschränkungen umgehen und erlangt dadurch hohe Auswirkungen auf die Integrität sowie geringe Auswirkungen auf die Vertraulichkeit.

In dieser Reihenfolge patchen

Prioritätsreihenfolge für diese Woche:

1. Beginnen Sie mit den netzwerkerreichbaren Schwachstellen ohne vorherige Authentifizierung: CVE-2026-89111 (SAP Cloud SDK, CVSS 10) und CVE-2026-58249 (NetWeaver/Web Dispatcher ICM, CVSS 7,5). Beide lassen sich ohne Anmeldedaten auslösen. Da in den öffentlichen Hinweisdaten keine korrigierten Versionen aufgeführt sind, schränken Sie die Netzwerkexposition ein und beobachten Sie die Aktualisierungen der SAP-Sicherheitshinweise.
2. Gehen Sie dann zu den kritischen authentifizierten Schwachstellen mit breiter Auswirkung über: CVE-2026-89107 (S/4HANA Manage Substitution/Validation Rules), CVE-2026-89110 (NetWeaver Visual Composer) und CVE-2026-89108 (MII Configuration Service).
3. Behandeln Sie anschließend die Einträge mit hohem Schweregrad in Datenbank und Plattform: CVE-2026-89113 (SQL-Injection in Commerce Cloud) und CVE-2026-89120 (fehlende Berechtigungsprüfung in der ABAP Platform).
4. Beheben Sie schließlich die mittleren und niedrigen Einträge – darunter XSS und offene Weiterleitung im NetWeaver Enterprise Portal, XSS in SAPUI5, XSS in MII, fehlerhafte Zugriffskontrolle im CLA-Assistant und yeoman-ui – im Rahmen der üblichen Änderungsfenster.

Keine CVE aus dieser Veröffentlichung ist in der CISA KEV enthalten, daher gilt keine CISA-KEV-Frist.

Über den Patch hinaus

In einer Woche ohne aktive Ausnutzung besteht das Entscheidungsproblem in der Reihenfolge: welche SAP-Systeme ohne Anmeldedaten erreichbar sind und welche Geschäftsprozesse sie versorgen. Mit SAP-HANA-Sicherheit & Cloud-Migration bleibt die SAP-Landschaft erfasst und migrationsbereit; mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, Expositionsentscheidungen für Pfade ohne vorherige Authentifizierung wie CVE-2026-89111 und CVE-2026-58249 zu priorisieren.