SAP-Lücke „OVERPASS“: BSI warnt vor Vollzugriff auf SAP-Systeme ohne Anmeldung

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor kritischen Schwachstellen in SAP-Produkten. Anlass ist der SAP-Patchday vom 8. September 2026 mit 19 Schwachstellen; der IT-Sicherheitshinweis 2026-288588-1032 trägt die Kritikalität 2 (Gelb), Maßnahmen müssen also zeitnah ergriffen werden.

Im Mittelpunkt steht CVE-2026-44756 in der Extended-Passport-Processing-Bibliothek, die im SAP Kernel verwendet wird. Über manipulierte Netzwerkanfragen könnte ein Angreifer Betriebssystembefehle auf dem SAP-Host mit Administratorrechten ausführen und das System vollständig übernehmen. Die Lücke betrifft Web-, GUI- und RFC-Layer und ist ohne Authentifizierung ausnutzbar; der Entdecker Onapsis nennt sie „OVERPASS“, die CVSS-Bewertung liegt bei 10 von 10. Hinzu kommen zwei kritische NetWeaver-Lücken: CVE-2026-58240 („S4GET“, 9,8) erlaubt es, die Authentifizierung am Message Server aus der Ferne zu umgehen, CVE-2026-66768 (9,0) die Codeausführung durch bereits angemeldete Nutzer.

Onapsis hat nach eigenen Angaben weltweit über 10.000 öffentlich erreichbare IP-Adressen mit SAP-Webschnittstellen gefunden, die verwundbar sein könnten. Eine aktive Ausnutzung ist bislang nicht beobachtet; das BSI geht aber davon aus, dass Angreifern „im Zeitalter von KI-unterstützter Exploit-Entwicklung“ kurzfristig die Mittel zur Verfügung stehen. Priorität haben die SAP Notes 3747649 (OVERPASS) und 3759472 (S4GET).

Was das für Betriebe heißt

Mittelständler mit SAP Business One oder S/4HANA sollten heute drei Dinge klären: Hat der Dienstleister die September-Notes eingespielt, und zwar nachweislich mit Note-Nummer? Ist eine SAP-Schnittstelle aus dem Internet erreichbar, etwa für Außendienst oder Partnerportale? Und gibt es eine Protokollierung, mit der sich ein Zugriff über die Lücke seit dem 8. September nachträglich erkennen ließe? Wer die erste Frage nicht beantworten kann, sollte das Einspielen vor allen anderen Wartungsarbeiten beauftragen.