SAP NetWeaver CVE-2026-44748: PoC-Exploits verfügbar – Dringende Patch-Prüfung für alle DACH-Unternehmen
Nach dem SAP Patchday Juni 2026 sind nun Proof-of-Concept-Exploits für CVE-2026-44748 verfügbar. Betroffene SAP NetWeaver AS ABAP-Systeme sind durch die XML Signature Wrapping-Lücke in der SAML-Authentifizierung einer erhöhten Gefahr der Identitätsübernahme ausgesetzt. Unternehmen im DACH-Raum müssen sofortige Maßnahmen zur Absicherung ergreifen.
Der [SAP Patchday Juni 2026](https://s-edv.com/news/sap-patchday-juni-2026-netweaver-cve-2026-44748-saml-bypass) brachte eine als HotNews eingestufte kritische Schwachstelle mit sich: CVE-2026-44748 mit einem CVSS-Score von 9.9. Diese XML Signature Wrapping-Lücke in der SAML-Authentifizierung von SAP NetWeaver AS ABAP und der ABAP Platform erlaubt es Angreifern, Identitäten zu fälschen. Nun, kurze Zeit später, sind bereits öffentliche Proof-of-Concepts (PoCs) auf GitHub verfügbar, was das Risiko einer Ausnutzung massiv erhöht.
Dieser Artikel beleuchtet die neuen Entwicklungen und präsentiert aktualisierte Handlungsempfehlungen.
Was ist neu: Öffentliche PoC-Exploits und CISA-Bewertung
Während SAP am 9. Juni 2026 den Patch für CVE-2026-44748 veröffentlichte, haben Sicherheitsforschende seitdem PoCs erstellt und auf Plattformen wie GitHub geteilt. Dies bedeutet, dass die technische Umsetzbarkeit eines Angriffs nun jedem potenziellen Angreifer offensteht.
Wichtige neue Informationen:
**Öffentliche PoC-Exploits:** Mehrere Quellen, darunter CVEfeed.io und GitHub, bestätigen die Verfügbarkeit von PoCs. Dies senkt die Hürde für Angreifer erheblich. **CISA SSVC Assessment:** Die Cybersecurity & Infrastructure Security Agency (CISA) hat CVE-2026-44748 im Rahmen ihres Stakeholder-Specific Vulnerability Categorization (SSVC) bewertet. Obwohl CISA derzeit keine **aktive Ausnutzung** im Known Exploited Vulnerabilities (KEV) Catalog meldet, sind die Parameter der Schwachstelle besorgniserregend: **Exploitation:** `none` (zum Zeitpunkt der CISA-Bewertung), was sich durch die PoCs geändert haben könnte. **Automatable:** `no` (manuelle Schritte für Ausnutzung notwendig). **Technical Impact:** `total` (vollständige Systemkompromittierung möglich).
Die Kombination aus kritischer Schwachstelle, hohem CVSS-Score und verfügbaren PoCs erfordert umgehendes Handeln von allen betroffenen SAP-Betreibern.
Betroffenheit und Risikobewertung
CVE-2026-44748 betrifft SAP-Installationen, die SAML zur Authentifizierung nutzen und auf SAP_BASIS-Versionen 702 bis 919 basieren. Ein erfolgreicher Angriff ermöglicht die komplette Identitätsübernahme und somit unautorisierten Zugriff auf kritische Systeme. Besonders gefährdet sind:
**Systeme mit SAML-Authentifizierung:** Jeder SAP NetWeaver AS ABAP, der SAML-basiertes Single Sign-On (SSO) verwendet, ist potenziell angreifbar. **Ältere und aktuelle Basis-Versionen:** Der weitreichende Footprint von BASIS 702 bis 919 deckt zahlreiche Produktivsysteme ab.
Risikobewertung angesichts der PoCs: Die Verfügbarkeit von PoCs bedeutet, dass auch weniger erfahrene Angreifer diese Schwachstelle ausnutzen können. Auch wenn CISA noch keine `active exploitation` gemeldet hat, ist die Zeit bis zu einer breiten Ausnutzung durch Cyberkriminelle typischerweise sehr kurz, sobald PoCs veröffentlicht werden.
Aktualisierte Handlungsempfehlungen
Die dringendste Maßnahme bleibt das Einspielen des von SAP bereitgestellten Security Notes.
1. Sofortige Patch-Installation: Prüfen Sie umgehend, ob der Patch für CVE-2026-44748 (via SAP Security Note) auf allen betroffenen Systemen installiert ist. Priorisieren Sie dies als Notfall-Patch, nicht als Teil des regulären Wartungszyklus.
2. SAML-Deaktivierung (Workaround): Sollte eine sofortige Patch-Installation nicht möglich sein, deaktivieren Sie die SAML-Authentifizierung temporär. Beachten Sie, dass dies bestehende SSO-Integrationen unterbrechen wird.
3. Proaktives Monitoring: Überwachen Sie SAP-Systeme und Authentifizierungs-Logs auf ungewöhnliche Anmeldeversuche oder Identitätsfälschungen.
4. Verstärkte Authentifizierung: Stellen Sie sicher, dass Mehr-Faktor-Authentifizierung (MFA) auf allen kritischen Konten aktiviert ist, um eine zusätzliche Sicherheitsebene zu schaffen, auch wenn SAML-Bypass stattfindet.
Dieser Fall unterstreicht erneut die Notwendigkeit, kritische Sicherheitshinweise von Herstellern nicht nur zur Kenntnis zu nehmen, sondern umgehend zu handeln, sobald die Exploitation-Wahrscheinlichkeit durch öffentliche PoCs ansteigt.
