SAP hat im Rahmen des Patchdays für Oktober 2026 die Veröffentlichung von 22 neuen und aktualisierten Sicherheitsmeldungen bekannt gegeben. Darunter befinden sich vier als kritisch eingestufte Schwachstellen in Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA sowie Manufacturing Integration and Intelligence. Das Unternehmen gab nicht an, dass diese Fehler bei tatsächlichen Angriffen ausgenutzt wurden, empfahl den Nutzern jedoch, die Anwendungen so bald wie möglich zu aktualisieren.
Schwachstellen, die zu einer vollständigen Kompromittierung führen können
Die kritischste Schwachstelle trägt die Kennung CVE-2026-89111 und weist eine CVSS-Bewertung von 10 von 10 auf. Es handelt sich um eine mit OAuth2 verbundene SSRF-Schwachstelle im Cloud SDK for Python, die sich auf mandantenfähige BTP-Anwendungen auswirkt. Laut der auf GitHub veröffentlichten Stellungnahme von SAP kann ein Angreifer, der den Parameter tenant_subdomain kontrolliert, OAuth2-Token-Anfragen an einen von ihm kontrollierten Server umleiten, was zum Abfluss von Kunden-Anmeldedaten führen kann.
CVE-2026-89110 erreicht einen Wert von 9,9 von 10 und steht mit einer Schwachstelle bei der Zugriffskontrolle in bestimmten Funktionen von NetWeaver Visual Composer in Verbindung. Das Unternehmen für Anwendungssicherheit im Unternehmensbereich Onapsis erklärte, ein Angreifer mit niedrigen Berechtigungen könnte in der Lage sein, interne Vorgänge auf einem zuvor konfigurierten entfernten System aufzurufen, was letztlich zur vollständigen Übernahme des Systems führen könnte.
SAP behebt außerdem CVE-2026-89107 in S/4HANA, die mit 9,9 von 10 bewertet wird. Der Fehler ermöglicht es einem authentifizierten Angreifer mit einer bestimmten Geschäftsfunktion in Fiori-Anwendungen unter bestimmten Bedingungen, speziell erstellte Eingaben zu senden und beliebigen ABAP-Code auszuführen. Die Schwachstelle ist auf eine unzureichende Eingabevalidierung während der RegeldDefinitionsverarbeitung zurückzuführen.
CVE-2026-89108 weist einen Wert von 9,1 von 10 auf und ist auf eine fehlende Autorisierungsprüfung in Manufacturing Integration and Intelligence zurückzuführen. Ein Angreifer mit XMII-Admin-Berechtigungen kann ein Administratorkonto auf dem zugrunde liegenden Java-Anwendungsserver erstellen und dadurch das System vollständig kompromittieren.
Was ändert sich praktisch?
Diese Sammlung umfasst unterschiedliche Risiken: den Abfluss von Anmeldedaten über OAuth2-Anfragen, die Umgehung von Zugriffskontrollen, die Injektion von ABAP-Code und die Erstellung von Administratorkonten. Die Auswirkungen beschränken sich daher nicht auf eine einzelne Komponente, sondern können sich je nach Produkten, Konfigurationen und den dem Angreifer zur Verfügung stehenden Rollen auf SAP-Unternehmenssysteme und die darauf basierenden Prozesse erstrecken.
SAP behob außerdem hochriskante Schwachstellen in Commerce Cloud, NetWeaver und der ABAP Platform, die die Injektion beliebiger SQL-Befehle, den Absturz eines Prozesses oder die Umgehung von Sicherheitsbeschränkungen ermöglicht hätten. Die Quelle nennt weder die betroffenen Produktversionen noch separate Zeitpläne für die Aktualisierung. Sie bestätigt außerdem bis zum Veröffentlichungsdatum keine aktive Ausnutzung der Schwachstellen.
Was Nutzer überprüfen sollten
SAP-Administrations teams sollten die SAP-Sicherheitsmeldungen für Oktober 2026 prüfen, die tatsächlich bereitgestellten Komponenten ermitteln und die geeigneten Aktualisierungen gemäß den genehmigten Änderungsverfahren einspielen. Die Schwachstellen erfordern außerdem eine Überprüfung der Rollenberechtigungen, insbesondere der mit Fiori und XMII verbundenen Rollen, sowie eine Kontrolle der Konfigurationen mandantenfähiger Anwendungen. Die Priorität der Behebung hängt weiterhin davon ab, wie stark die jeweilige Umgebung exponiert ist, da die Quelle nicht angibt, dass alle Bereitstellungen auf dieselbe Weise ausnutzbar sind.