SAP schließt eine Kernel-Lücke mit CVSS 10.0, die keine Zugangsdaten erfordert

Der September-Sicherheitspatchtag von SAP am 8. September sah auf dem Papier routinemäßig aus: 22 Sicherheitshinweise. Vier der neuen Hinweise waren HotNews, SAPs höchste Schweregradstufe, und einer davon ist so schlimm, wie Enterprise-Software-Schwachstellen nur sein können.

Zum Weiterlesen: Microsofts Patchday im Oktober 2026 stellt mit 1.407 Korrekturen einen Rekord auf · WordPress stopft Comment2Shell, eine Kommentar-Lücke, die zur Server-Übernahme führen kann.

Bekannt als CVE-2026-44756 und von den Forschern, die ihn entdeckten, OVERPASS getauft, ist es ein Speicherkorruptionsfehler in der Verarbeitung des Extended Passport (EPP) durch den SAP-Kernel, jener standardmäßigen Tracing-Struktur, die Clients an ihre Anfragen anhängen. Er trägt den maximal möglichen CVSS-Score von 10.0. Er ist remote und ohne Authentifizierung ausnutzbar, existiert standardmäßig in einer breiten Palette von SAP-Technologiekomponenten und erlaubt einem Angreifer, beliebige Betriebssystembefehle auf dem SAP-Host mit SAP-Administratorrechten auszuführen, die vollständige Kompromittierung der darunterliegenden Geschäftsdaten und -prozesse.

Wie er funktioniert

Laut Onapsis Research Labs, das die Lücke identifizierte und verantwortungsvoll an SAP meldete, handelt es sich um eine fehlende Grenzprüfung bei der Deserialisierung von EPP-Daten. Wenn der Kernel extern gelieferte Längenfelder verarbeitet, führt die fehlende Validierung zu einer Speichersicherheitsverletzung. Ein nicht authentifizierter Angreifer sendet manipulierte Netzwerkanfragen mit einem fehlerhaften EPP-Header und löst undefiniertes Verhalten aus, das sich in Codeausführung verwandeln lässt.

SAP veröffentlichte den Fix in Security Note 3747649, einem Kernel-Patch, der nach Einschätzung von Onapsis mit einem einzigen Update alle beschriebenen Zugriffswege schließt. Er deckt ABAP- und Java-Kernels sowie SAP Web Dispatcher Version 9.16 ab. Andere Web-Dispatcher-Versionen und Web Dispatcher als Teil der SAP HANA Extended Application Services sind laut SAP nicht betroffen. Betroffene Kernels umfassen die Linien KRNL64NUC/KRNL64UC 7.22 bis 8.04 und die Haupt-KERNEL-Zweige von 7.22 bis 9.20.

Onapsis schätzt laut BleepingComputer, dass mehr als 10.000 internetzugewandte SAP-Systeme die anfällige Komponente ausführen.

Noch keine Ausnutzung

Zum 9. September erklärte Onapsis, keine aktive Ausnutzung in freier Wildbahn beobachtet zu haben, und auch SAPs Hinweise erwähnen keine. Das ist die gute Nachricht, und zugleich der Teil mit kurzer Haltbarkeit. Onapsis' eigene Empfehlung weist darauf hin, dass Angreifer SAP-Patches historisch innerhalb von etwa 72 Stunden zurückentwickelt haben und dass KI-gestützte Werkzeuge dieses Fenster weiter verkürzen.

Die Referenzpunkte sind ernüchternd. OVERPASS ähnelt den ICMAD-Schwachstellen von 2022, die ebenfalls in gemeinsamem SAP-Kernel-Code saßen und ebenfalls mit 10.0 bewertet wurden, und zeigten, wie groß der Explosionsradius einer Kernel-Lücke sein kann. Die Massenausnutzung von CVE-2025-31324 im Jahr 2025, die Mandiants Bericht von 2026 als die meistausgenutzte Schwachstelle des Jahres bezeichnete, zeigte, was passiert, wenn eine kritische prä-authentifizierte SAP-Lücke Waffentauglichkeit erlangt, bevor Verteidiger reagieren.

Was zu tun ist

Die Behebung ist für eine derart schwerwiegende Lücke ungewöhnlich sauber. Onapsis empfiehlt, das Patchen als Notfallpriorität zu behandeln:

• Zuerst inventarisieren. Prüfen Sie Ihre SAP-Kernel-Version und Ihren Patchstand gegen Security Note 3747649 und betrachten Sie jedes ungepatchte System als betroffen.
• Den Kernel-Patch anwenden. Er ist der endgültige Fix. Teilweise HTTP-Kontrollen existieren in begleitenden Hinweisen (3756304 und 3776034), aber laut Onapsis schließt nur der Kernel-Patch jeden Ausnutzungspfad.
• Nicht auf ein Wartungsfenster warten, das Sie bereuen werden. Angesichts der Erreichbarkeit über RFC- und GUI-Schichten, nicht nur über das Web, gibt es keinen sauberen Perimeter, hinter dem man sich verstecken könnte.
• Auf Umrüstung achten. Eine 10.0 ohne Zugangsdaten ist ein hochwertiges Ziel für Ransomware und Initial-Access-Broker; die Abwesenheit von Ausnutzung heute ist keine Prognose für den nächsten Monat.

Auch die übrigen HotNews-Hinweise desselben Patchtags sind einen Blick wert: CVE-2026-58231 im Data Hub Adapter von SAP Commerce Cloud (ebenfalls 10.0), CVE-2026-58240 (S4GET) im NetWeaver Message Server (9.8), CVE-2026-76969 im Cloud Application Programming Model (9.4) und CVE-2026-66768 in SAP GUI for Java (9.0).