SAP schließt kritische Sicherheitslücke CVE-2026-44756 mit CVSS 10.0
SAP hat am 8. September 2026 mit SAP Security Note 3747649 eine Schwachstelle mit dem Höchstwert CVSS 10.0 geschlossen. Betroffen sind Kernel- und Web-Dispatcher-Releases, darunter Kernel 9.16. Eine aktive Ausnutzung ist bislang nicht bestätigt, Admins sollten dennoch umgehend patchen.
SAP hat am Patch Day vom 8. September 2026 eine Sicherheitslücke mit der höchstmöglichen Bewertung CVSS 10.0 geschlossen. Die als CVE-2026-44756 geführte Schwachstelle betrifft die Extended Passport Processing (EPP), eine Komponente, die in SAP-Kernel- und Web-Dispatcher-Releases für Logging und Tracing zuständig ist, unter anderem in S/4HANA und NetWeaver. Betroffen sind mehrere Kernel-Releases, darunter Kernel 9.16. Der Angriffspfad führt über eine Speicherfehler-Schwachstelle (Memory Corruption), die es einem nicht authentifizierten Angreifer laut SAP theoretisch erlaubt, Code mit den Rechten des SAP-Administrators auszuführen, also ohne gültige Zugangsdaten oder vorherige Anmeldung am System.
Gesichert ist bislang nur der technische Befund selbst und die Bewertung durch SAP und mehrere Sicherheitsfirmen. Nicht bestätigt ist eine aktive Ausnutzung der Lücke in freier Wildbahn, Berichte sprechen von einem theoretischen beziehungsweise Proof-of-Concept-Risiko, nicht von belegten Angriffen. Angesichts des Höchstwerts CVSS 10.0 und der fehlenden Authentifizierungsanforderung besteht dennoch hohe Dringlichkeit. Als erste Prüfung sollten Administratoren die installierten Kernel- und Web-Dispatcher-Versionen mit den in SAP Security Note 3747649 genannten betroffenen Releases abgleichen. Die konkrete Maßnahme ist das zeitnahe Einspielen des Patches über das SAP Support Portal, unabhängig davon, ob bereits Hinweise auf Ausnutzung vorliegen.
Was ist CVE-2026-44756
CVE-2026-44756 ist eine Memory-Corruption-Schwachstelle in der Extended Passport Processing von SAP-Kernel- und Web-Dispatcher-Komponenten. Die EPP-Funktion dient dem Nachverfolgen und Protokollieren von Transaktionen über Systemgrenzen hinweg und ist tief in der Kernel-Architektur verankert, wodurch sie in vielen SAP-Landschaften standardmäßig aktiv ist. Laut Berichten von The Hacker News kann ein Angreifer die Schwachstelle ohne jegliche Authentifizierung über das Netzwerk erreichen. Die Kombination aus fehlender Zugriffskontrolle und der Möglichkeit zur Codeausführung mit SAP-Admin-Rechten macht die Lücke besonders kritisch, da ein erfolgreicher Angriff potenziell die vollständige Kontrolle über betroffene SAP-Systeme ermöglichen würde.
Betroffene Systeme und Versionen
Die Schwachstelle betrifft SAP-Kernel- und Web-Dispatcher-Releases, in denen die Extended Passport Processing aktiv ist. Explizit genannt wird Kernel 9.16, weitere Releases sind laut SAP Security Note 3747649 ebenfalls betroffen. Da EPP unter anderem in S/4HANA und NetWeaver zum Einsatz kommt, sind Landschaften mit diesen Produkten besonders zu prüfen. Zu den relevanten Prüfpunkten zählen:
- Installierte Kernel-Version und Patch-Level auf allen produktiven und nicht-produktiven Systemen
- Version des SAP Web Dispatcher, sofern separat betrieben
- Aktivierungsstatus der Extended Passport Processing in der jeweiligen Systemkonfiguration
- Erreichbarkeit der betroffenen Dienste aus dem Internet oder aus wenig vertrauten Netzsegmenten
- Vorhandene Netzwerksegmentierung und Firewall-Regeln rund um SAP-Kernel-Dienste
Weitere kritische Lücke CVE-2026-58240
Neben CVE-2026-44756 wurde am selben Patch Day eine zweite kritische Schwachstelle veröffentlicht, CVE-2026-58240 mit einem CVSS-Wert von 9.8. Sie betrifft eine fehlende Authentifizierungsprüfung im NetWeaver Message Server und wirkt sich auf die Kernel-Releases 9.16, 9.18, 9.19 und 9.20 aus. Der zugehörige Fix ist in SAP Note 3759472 dokumentiert. Auch wenn beide Lücken unabhängig voneinander sind, verstärken sie zusammen die Dringlichkeit dieses Patch Days, da SAP-Landschaften häufig sowohl Kernel- als auch Message-Server-Komponenten in verwandten Versionslinien betreiben.
Vergleich der beiden Schwachstellen
Die folgende Übersicht stellt die beiden kritischsten Schwachstellen des Patch Days gegenüber:
| Merkmal | CVE-2026-44756 | CVE-2026-58240 |
|---|---|---|
| CVSS-Wert | 10.0 | 9.8 |
| Schwachstellentyp | Memory Corruption | Fehlende Authentifizierungsprüfung |
| Betroffene Komponente | Extended Passport Processing (Kernel, Web Dispatcher) | NetWeaver Message Server |
| Betroffene Releases | Kernel 9.16 und weitere | Kernel 9.16, 9.18, 9.19, 9.20 |
| Fix | SAP Security Note 3747649 | SAP Note 3759472 |
| Bestätigte aktive Ausnutzung | Nein, nur PoC-Risiko | Keine Angabe in den Quellen |
Einordnung des Patch Days
Der SAP Patch Day im September 2026 umfasste nach Angaben verschiedener Quellen eine zweistellige Zahl neuer Security Notes, wobei die genannten Werte je nach Quelle zwischen rund 19 und 22 schwanken und sich nicht eindeutig zusammenführen lassen. Übereinstimmend berichten mehrere Quellen jedoch von insgesamt vier als kritisch eingestuften Schwachstellen in diesem Zyklus, wozu CVE-2026-44756 und CVE-2026-58240 zählen. Eine Analyse von Onapsis ordnet den Patch Day insgesamt als besonders relevant ein, da gleich mehrere unauthentifizierte Angriffspfade adressiert werden. Wer die Historie kritischer SAP-Lücken verfolgt, erinnert sich an den SAP Patch Day vom Juni 2026, bei dem eine SAML-Bypass-Schwachstelle in NetWeaver für ähnliche Dringlichkeit sorgte.
Was Admins jetzt prüfen sollten
Für Betreiber von SAP-Systemen ergibt sich aus beiden Schwachstellen ein klarer Handlungsbedarf. Folgende Schritte sollten priorisiert werden:
- Prüfen, ob die eigenen Kernel- und Web-Dispatcher-Versionen in den betroffenen Releases von SAP Security Note 3747649 oder SAP Note 3759472 aufgeführt sind
- Patches über das SAP Support Portal für beide Notes zeitnah beziehen und in einer Testumgebung validieren
- Produktivsysteme nach erfolgreichem Test priorisiert patchen, beginnend mit Systemen, die aus dem Internet erreichbar sind
- Zwischenzeitlich prüfen, ob die Extended Passport Processing dort deaktiviert oder eingeschränkt werden kann, wo sie nicht zwingend benötigt wird
- Netzwerkzugriff auf SAP-Kernel- und Message-Server-Dienste auf notwendige Quellen beschränken
- Logs auf ungewöhnliche Zugriffe auf betroffene Dienste im Zeitraum vor und nach der Veröffentlichung prüfen
Ein strukturierter Umgang mit solchen Patch-Zyklen zahlt sich unabhängig vom Hersteller aus. Wie eine sinnvolle Priorisierung von Sicherheitsupdates aussehen kann, beschreibt der Beitrag zu Patch-Prozessen und Priorisierung bei Microsoft-Sicherheitsupdates, dessen Grundprinzipien sich auch auf SAP-Landschaften übertragen lassen.
Passende Anleitungen auf S-EDV
- SAP Patch Day Juni 2026: NetWeaver CVE-2026-44748 SAML-Bypass
- Microsoft Security Updates: Patch-Prozess und Priorisierung
