Vier kritische SAP-Sicherheitslücken im August-Update geschlossen

Im Rahmen des August-Sicherheitsupdates hat SAP vier kritische Schwachstellen behoben. Die schwerwiegendste davon – CVE-2026-58231 in der SAP Commerce Cloud (Data Hub Adapter) – wurde mit dem maximalen CVSS-Score 10.0 bewertet. Die Schwachstelle ermöglicht einem nicht authentifizierten Angreifer, beliebigen Code auszuführen, indem er den Standard-Authentifizierungs-Client und eine unzureichende Validierung der Eingabedaten ausnutzt. Organisationen, die SAP Commerce Cloud einsetzen, müssen das Update umgehend einspielen und die Plattform neu bereitstellen.

CVE-2026-58231: Remote Code Execution ohne Authentifizierung

Gemäß der Beschreibung im CVE-Register liegen die Ursachen der Schwachstelle in unzureichenden Autorisierungsprüfungen in Kombination mit fehlender Validierung der Eingabedaten. SAP Commerce Cloud erlaubt es einem nicht authentifizierten Angreifer, den Standard-Authentifizierungs-Client zu verwenden und speziell präparierte Daten an Funktionen zu übergeben, die keine ausreichenden Prüfungen vornehmen. Eine erfolgreiche Ausnutzung führt zur Ausführung beliebigen Codes und zur Kompromittierung interner Komponenten mit vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.

Die Höchstbewertung von 10.0 im CVSS ergibt sich aus einer Kombination von Faktoren: Der Angriff ist aus der Ferne möglich, erfordert weder Authentifizierung noch Privilegien, und die Auswirkungen betreffen alle drei Sicherheitsaspekte. Zum Zeitpunkt der Veröffentlichung ist keine der Schwachstellen des August-Updates im CISA-KEV-Katalog verzeichnet, und es liegen keine Daten über eine bestätigte Ausnutzung in realen Angriffen vor.

Drei weitere kritische Schwachstellen

Zusätzlich zu CVE-2026-58231 hat SAP drei weitere Schwachstellen mit Bewertungen zwischen 9.1 und 9.9 behoben:

• CVE-2026-44772 (CVSS 9.9) – Code-Injection in Manufacturing Integration and Intelligence. Nach Angaben der Forscher von Onapsis ermöglicht ein verwundbarer Servlet einem Angreifer mit niedrigen Privilegien, speziell präparierte Daten zu übermitteln, durch die die Anwendung gezwungen wird, Inhalte von einem externen, vom Angreifer kontrollierten Server zu laden und zu verarbeiten, was letztlich zur Ausführung beliebiger Befehle auf dem Host führt.
• CVE-2026-34265 (CVSS 9.8) – Schreibzugriff außerhalb des zugewiesenen Puffers in Application Server ABAP für SAP NetWeaver und ABAP Platform. Ein nicht authentifizierter Angreifer kann logische Fehler beim Parsen des DIAG-Protokolls ausnutzen, was zu Speicherbeschädigungen führt. Die Folgen reichen von der Offenlegung sensibler Systeminformationen bis hin zu Denial of Service.
• CVE-2026-44758 (CVSS 9.1) – Code-Injection in Manufacturing Integration and Intelligence. Dem Bericht zufolge ist die verwundbare Servlet-Komponente anfällig für Server-Side Template Injection (SSTI) und Server-Side Request Forgery (SSRF), was den Weg zur Ausführung von Befehlen auf Betriebssystemebene öffnet. Für eine Ausnutzung sind hohe Privilegien erforderlich.

Bewertung der Auswirkungen

SAP Commerce Cloud ist eine E-Commerce-Plattform, die in Handel, Fertigung und dem B2B-Sektor weit verbreitet ist. Die Schwachstelle CVE-2026-58231 mit der Möglichkeit zur Remote Code Execution ohne Authentifizierung stellt eine unmittelbare Bedrohung für Organisationen dar, deren Commerce-Cloud-Instanzen aus dem Internet erreichbar sind. Eine Kompromittierung kann zur vollständigen Übernahme der Anwendung, zum Abfluss von Kunden- und Transaktionsdaten sowie zur Nutzung der kompromittierten Infrastruktur als Ausgangspunkt für eine weitere Ausbreitung im Unternehmensnetz führen.

Die beiden Schwachstellen in Manufacturing Integration and Intelligence (CVE-2026-44772 und CVE-2026-44758) sind besonders gefährlich für Industrieunternehmen, bei denen dieses Modul Produktionssysteme mit der SAP-ERP-Ebene integriert. Die Schwachstelle CVE-2026-34265 in der ABAP-Plattform betrifft eine grundlegende Komponente, auf der die meisten SAP-Installationen basieren.

Empfehlungen zur Behebung

Die Reihenfolge der Behebung sollte sich nach absteigenden CVSS-Scores richten:

1. CVE-2026-58231 (Commerce Cloud): Aktualisierung auf die korrigierte Version von SAP Commerce Cloud und vollständiges Redeployment durchführen. Nach den Empfehlungen von Onapsis sollte als Übergangsmaßnahme bis zur Installation des Patches ein Satz von IP-Filterregeln eingerichtet werden, um den Zugriff auf den verwundbaren Endpunkt einzuschränken.
2. CVE-2026-44772 (MII, CVSS 9.9): Nach der Installation des Patches ist die neue Systemeigenschaft Secure Transformer zu konfigurieren, indem eine Liste zulässiger Hosts für das Hosting von XSL-Dateien angegeben wird. Nur Dateien von Hosts aus dieser Liste werden vom korrigierten Servlet verarbeitet.
3. CVE-2026-34265 (ABAP/NetWeaver, CVSS 9.8): Die entsprechende SAP-Sicherheitshinweis ist zu implementieren. Da die Ausnutzung ohne Authentifizierung über das DIAG-Protokoll möglich ist, sollte die Netzwerkerreichbarkeit der DIAG-Ports aus nicht vertrauenswürdigen Segmenten überprüft werden.
4. CVE-2026-44758 (MII, CVSS 9.1): Installation des Patches, der den verwundbaren Servlet-Komponenten den Angaben zufolge vollständig entfernt. Trotz der erforderlichen hohen Privilegien macht das Vorhandensein von SSTI und SSRF diese Schwachstelle gefährlich, falls ein privilegiertes Benutzerkonto kompromittiert wird.

Vier kritische Schwachstellen mit Bewertungen zwischen 9.1 und 10.0 in einem einzigen monatlichen Update sind eine untypisch hohe Konzentration für einen SAP Patch Day. Organisationen sollten die Installation dieser Patches als dringende Aufgabe betrachten und nicht auf das reguläre Wartungsfenster warten – insbesondere bei CVE-2026-58231 in Commerce Cloud, bei der das Fehlen einer Authentifizierung für die Ausnutzung die Schwachstelle zu einem attraktiven Ziel für automatisiertes Scanning und Angriffe macht.