SAP-Patchday Oktober 2026: Kritische Sicherheitslücken in Cloud- und ERP-Systemen

Ausgangslage

SAP hat am 13. Im Oktober 2026 wurden insgesamt 16 neue Security Notes sowie vier GitHub Security Advisories herausgegeben. Vier neue Schwachstellen werden als kritisch eingestuft, während drei weitere mit der Risikostufe „Hoch“ klassifiziert sind. Die kritischste Lücke besteht im SAP Cloud SDK für Python und hat einen CVSS-Wert von 10,0.

Hintergrund

Die kritische Schwachstelle im SAP Cloud SDK for Python (CVE-2026-89111) ermöglicht es nicht authentifizierten Angreifern, OAuth2-Anfragen umzuleiten und vertrauliche Client-Zugangsdaten abzugreifen. Betroffen sind SDK-Versionen vor Version 0.45.2. Unternehmen müssen die Bibliothek auf den neuesten Stand bringen und kontrollieren, ob die Zugangsdaten möglicherweise gefährdet sein könnten.

Eine weitere kritische Schwachstelle (CVE-2026-89110) betrifft SAP NetWeaver Visual Composer. Fehlerhafte Zugriffskontrollen ermöglichen es Angreifern, die nur geringe Berechtigungen besitzen, interne Operationen auf Systemen auszulösen, die angebunden sind. Diese Komponente war bereits 2025 von einer aktiv ausgenutzten Sicherheitslücke betroffen.

Eine weitere kritische Schwachstelle ermöglicht in SAP S/4HANA unter bestimmten Voraussetzungen die Ausführung beliebigen ABAP-Codes. Betroffen ist die Funktion „Manage Substitution/Validation Rules“ in den S4CORE-Versionen 105 bis 109. Neben dem Sicherheitspatch empfiehlt es sich, die Berechtigungen zur Pflege entsprechender Regeln zu kontrollieren, um die Integrität von Geschäftsdaten und Prozessen zu gewährleisten.

Eine weitere kritische Schwachstelle betrifft den Configuration Service von SAP Manufacturing Integration and Intelligence (MII). Eine fehlende Berechtigungsprüfung ermöglicht unzureichend autorisierte Zugriffe auf Konfigurationsfunktionen. Da SAP MII häufig Fertigungssysteme mit Unternehmensanwendungen verbindet, können Sicherheitsprobleme auch angebundene Systeme betreffen.

Einordnung für die Schweiz

Die geschlossenen Sicherheitslücken betreffen sowohl Cloud-Komponenten als auch klassische SAP-Systeme und produktionsnahe Anwendungen. Unternehmen in der Schweiz, die SAP-Systeme nutzen, sollten die veröffentlichten Security Notes umgehend prüfen und die notwendigen Updates einpielen.

Was das für Unternehmen bedeutet

Unternehmen, die SAP-Systeme einsetzen, müssen die veröffentlichten Security Notes sorgfältig prüfen und die notwendigen Updates einpielen. Besonders kritisch sind die Schwachstellen im SAP Cloud SDK for Python und SAP NetWeaver Visual Composer, da sie ohne vorherige Authentifizierung ausgenutzt werden können.

Unternehmen sollten nicht nur die kritischen Schwachstellen beheben, sondern auch die als hoch und mittel eingestuften Schwachstellen prüfen. Besonders wichtig ist es, die Berechtigungen zur Pflege von Regeln und die vergebenen Berechtigungen zu überprüfen. Unternehmen sollten auch die Erreichbarkeit des Configuration Service und die vergebenen Berechtigungen überprüfen.

Ausblick

SAP wird weiterhin regelmässig Security Patchdays durchführen, um bekannte Sicherheitslücken zu schliessen. Unternehmen sollten diese Updates regelmässig einpielen und ihre Systeme auf dem neuesten Stand halten, um sich vor potenziellen Angriffen zu schützen.

Einordnung

SAP-Patchdays sind regelmässige Ereignisse, bei denen SAP bekannte Sicherheitslücken in seinen Systemen schliesst. Diese Updates sind für Unternehmen, die SAP-Systeme einsetzen, von grosser Bedeutung, um sich vor potenziellen Angriffen zu schützen.

Was das für KMU bedeutet

Für Schweizer KMU, die SAP-Systeme nutzen, ist es entscheidend, die veröffentlichten Security Notes umgehend zu prüfen und die notwendigen Updates einzuspielen. Besonders kritisch sind die Schwachstellen, die ohne vorherige Authentifizierung ausgenutzt werden können.