SAP stopft kritische Schwachstellen in NetWeaver, Approuter und Router-Komponenten

Kurzfassung

SAP hat im Rahmen seiner Juli-2026-Sicherheitsupdates mehrere Schwachstellen in zentralen Komponenten geschlossen. Besonders relevant sind eine kritische Lücke in SAP NetWeaver Application Server ABAP sowie weitere Probleme in SAP Approuter, SAProuter und dem Change and Transport System Attach Tool (ctsattach). Die betroffenen Schwachstellen reichen von unauthentifiziertem Zugriff über mögliche Codeausführung bis hin zu Datenabfluss und Verfügbarkeitsproblemen.

Für Unternehmen im DACH-Raum ist das Thema vor allem deshalb brisant, weil SAP in vielen Branchen geschäftskritisch eingesetzt wird. Wer die betroffenen Systeme extern erreichbar betreibt oder sie mit sensiblen Geschäftsprozessen verknüpft, sollte die bereitgestellten Updates zeitnah einspielen und die Exponierung nach außen prüfen.

Was ist passiert?

SAP hat mehrere Sicherheitslücken in unterschiedlichen Produkten adressiert. Im Mittelpunkt steht CVE-2026-44747 in SAP NetWeaver Application Server ABAP, eine Schwachstelle mit sehr hohem Schweregrad, die auf einen Fehler bei der Speicherverwaltung zurückgeht. Daneben wurden unter anderem CVE-2026-27690 in SAP Approuter, CVE-2026-0487 in SAProuter, CVE-2026-44745 in SAP Approuter sowie CVE-2026-58233 im ctsattach-Umfeld geschlossen.

Die Meldungen zeigen ein typisches Bild bei Enterprise-Software: Nicht nur eine einzelne Komponente ist betroffen, sondern mehrere Bausteine einer SAP-Landschaft. Dadurch steigt die operative Relevanz, weil Angriffsflächen in Authentifizierungsflüssen, Transportmechanismen und Gateway-Komponenten zusammenkommen können.

Technische Details

CVE-2026-44747 betrifft SAP NetWeaver Application Server ABAP und wird als Out-of-bounds-Write beschrieben. Ein authentifizierter Angreifer kann dabei über logische Fehler in der Speicherverwaltung eine Speicherbeschädigung auslösen. In der Praxis kann so die Integrität von Daten oder Prozessen gefährdet werden; je nach Ausnutzungsszenario sind auch weitere Folgewirkungen denkbar.

CVE-2026-27690 betrifft SAP Approuter und ist eine HTTP-Request-Smuggling-Schwachstelle. Ein nicht authentifizierter Angreifer kann speziell präparierte HTTP-Anfragen senden, die eine Desynchronisation zwischen Anfrage und Antwort auslösen. Das kann dazu führen, dass Antworten anderer Nutzer sichtbar werden oder der Dienst nicht mehr zuverlässig arbeitet.

CVE-2026-0487 in SAProuter auf Microsoft Windows erlaubt es einem nicht authentifizierten Angreifer, Bibliotheken aus einer nicht vertrauenswürdigen Quelle zu laden. Dadurch kann der DLL-Ladeprozess missbraucht und potenziell beliebiger Code ausgeführt werden. Das ist besonders kritisch, weil daraus vollständige Systemkompromittierung entstehen kann.

CVE-2026-44745 betrifft ebenfalls SAP Approuter und eine unzureichende Prüfung eingehender Header während des OAuth2-Login-Flows in bestimmten Konfigurationen. Ein entfernter, nicht authentifizierter Angreifer kann einen schädlichen Link erzeugen, der bei einem Klick zu unautorisiertem Zugriff führen kann. Hier steht vor allem die Vertraulichkeit und Integrität von Konten und Sitzungen im Fokus.

CVE-2026-58233 im SAP Change and Transport System Attach Tool (ctsattach) ermöglicht einem authentifizierten Angreifer, ein manipuliertes Archiv einzuschleusen. Wird dieses verarbeitet, kann unsichere Deserialisierung zu Remote Code Execution führen. Das setzt zwar eine Interaktion mit dem schädlichen Archiv voraus, ist in Unternehmensumgebungen aber dennoch hochrelevant, weil Transport- und Entwicklungsprozesse oft privilegierte Systeme berühren.

Wer ist betroffen?

Betroffen sind vor allem Organisationen, die SAP NetWeaver, SAP Approuter, SAProuter oder ctsattach produktiv einsetzen. Dazu zählen in der DACH-Region insbesondere Industrieunternehmen, Banken, Versicherungen, öffentliche Einrichtungen, Logistik, Energieversorger und größere Mittelständler mit komplexen ERP- und Integrationslandschaften.

Für Privatpersonen ist das Risiko nach aktuellem Stand deutlich geringer, da es sich um Unternehmenssoftware handelt. Ein indirektes Risiko kann jedoch entstehen, wenn Angreifer über kompromittierte Unternehmenssysteme auf Kundendaten, Zugänge oder interne Prozesse zugreifen. Bei cloud- oder webnahen SAP-Komponenten steigt zudem die Wahrscheinlichkeit, dass externe Angriffsversuche direkt an Internet-Exponierung ansetzen.

Empfohlene Maßnahmen

Unternehmen sollten die von SAP bereitgestellten Updates priorisiert einspielen, beginnend mit den Systemen, die extern erreichbar sind oder kritische Geschäftsprozesse tragen. Besonders wichtig ist eine schnelle Bewertung, ob Approuter-, NetWeaver- oder SAProuter-Instanzen direkt aus dem Internet erreichbar sind.

Zusätzlich empfehlen sich folgende Schritte: Prüfung der betroffenen Versionen und Konfigurationen, Härtung von Authentifizierungs- und OAuth2-Flows, Einschränkung von Zugriffspfaden, Monitoring auf ungewöhnliche HTTP-Anfragen und Fehlerbilder sowie die Kontrolle von Transport- und Archivprozessen rund um ctsattach. Wo möglich, sollten administrative Schnittstellen segmentiert und nur aus vertrauenswürdigen Netzen erreichbar sein.

Für Windows-basierte SAProuter-Umgebungen ist es sinnvoll, die DLL-Suchpfade und die Verzeichnisberechtigungen zu überprüfen, um Missbrauch durch untrusted loading zu erschweren. Zudem sollten Security-Teams Logdaten auf Hinweise für Request-Smuggling, unerwartete Session-Fehler oder verdächtige Login-Weiterleitungen auswerten.

Einschätzung von CyberSecurity-News.de

Die Relevanz dieser Patch-Runde ist hoch. Nicht jede der genannten Schwachstellen ist ohne weitere Voraussetzungen ausnutzbar, doch die Kombination aus kritischen Schweregraden, teils fehlender Authentifizierung und der Nähe zu geschäftskritischen SAP-Prozessen macht die Lage für Unternehmen ernst. Gerade im DACH-Raum, wo SAP oft tief in Kernprozesse integriert ist, können selbst kurzfristige Ausfälle oder Datenmanipulationen erhebliche operative und regulatorische Folgen haben.

Aus Praxissicht ist wichtig, dass SAP-Sicherheitsmeldungen nicht isoliert betrachtet werden. Ein einzelner ungepatchter Approuter oder ein exponierter SAProuter kann bereits als Einstiegspunkt dienen, während Schwachstellen in NetWeaver oder Transport-Komponenten den Weg zu tieferer Kompromittierung ebnen können. Unternehmen sollten deshalb nicht nur patchen, sondern ihre SAP-Angriffsfläche strukturell reduzieren.

Fazit

Die Juli-2026-Updates von SAP adressieren mehrere sicherheitskritische Schwachstellen mit unterschiedlichem Angriffsprofil, aber klarer gemeinsamer Botschaft: SAP-Landschaften bleiben ein attraktives Ziel für Angreifer. Besonders CVE-2026-44747, CVE-2026-27690, CVE-2026-0487, CVE-2026-44745 und CVE-2026-58233 sollten in Unternehmensumgebungen zügig bewertet und priorisiert werden.

Wer SAP produktiv betreibt, sollte die Updates nicht aufschieben, die Exponierung nach außen prüfen und die betroffenen Prozesse eng überwachen. Für viele Organisationen ist dies weniger ein reines IT-Thema als eine Frage der Betriebssicherheit.

Quellenangabe

Ausgangsquelle zur Recherche: SAP Patches CVSS 9.9 NetWeaver ABAP Flaw That Could Expose or Modify Data

Weitere herangezogene Referenzen: NVD-Einträge zu CVE-2026-27690, CVE-2026-0487, CVE-2026-44745 und CVE-2026-58233 sowie die ergänzende Berichterstattung zu den SAP-Juli-2026-Updates.