ACN warnt: Kritische Sicherheitsupdates für SAP-Schwachstellen

Hintergrund

Im Rahmen des Security Patch Day im Juni 2026 hat SAP eine Reihe von Sicherheitsupdates veröffentlicht, um mehrere neue Schwachstellen zu beheben. Die ACN/CSIRT Italia hat eine Warnung (AL03/260609/CSIRT-ITA) herausgegeben, um die Bedeutung dieser Updates hervorzuheben, und weist auf drei als „kritisch“ und eine als „hoch“ eingestufte Schwachstellen hin (mit einem systemischen Einfluss von „Hoch“ und einem Score von 66.53).
Die behobenen Schwachstellen betreffen verschiedene Angriffsarten, darunter Authentication Bypass, Security Feature Bypass, Remote Code Execution, Denial of Service, Information Disclosure und Privilege Escalation. Betroffene Produkte umfassen verschiedene Versionen von SAP NetWeaver AS ABAP und ABAP Platform (700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 918, 919), KRNL64NUC (7.22, 7.22EXT), KRNL64UC (7.22, 7.22EXT, 7.53), KERNEL (7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 9.16, 9.18, 91.9) und NetWeaver Application Server Java (Web Container), Version ENGINEAPI 7.50.
Die spezifischen CVEs mit kritischer und hoher Schweregrad, die identifiziert wurden, sind CVE-2026-40128, CVE-2026-44748, CVE-2026-27671 und CVE-2026-44751. Im bereitgestellten Text sind keine Details zu Proof-of-Concept (POC) oder Ausnutzung (EXPLOITATION) verfügbar.

Warum es wichtig ist

Wenn Ihr Unternehmen SAP NetWeaver oder die ABAP-Plattform im Einsatz hat, betrifft Sie das direkt: Drei der behobenen Luecken gelten als kritisch und erlauben unter anderem Remote Code Execution und Privilege Escalation, also die Uebernahme zentraler Geschaeftssysteme. Fuer produktionsnahe ERP-Umgebungen bedeutet das Stillstandsrisiko und moegliche Datenabfluesse. Klaeren Sie mit Ihrem SAP-Basis-Team, ob der Juni-Patchday bereits eingespielt ist, und ziehen Sie die als kritisch eingestuften Fixes vor.

Was zu tun ist

• Überprüfen Sie die Liste der betroffenen SAP-Produkte und -Versionen in Ihrer Infrastruktur.
• Konsultieren Sie umgehend das offizielle SAP-Sicherheitsbulletin für detaillierte Patching-Anweisungen.
• Planen und wenden Sie Sicherheitsupdates für alle anfälligen SAP-Systeme zeitnah an.
• Führen Sie nach der Anwendung der Patches entsprechende Tests durch, um die volle Funktionalität der Systeme sicherzustellen.
• Führen Sie ein aktuelles Inventar der verwendeten SAP-Produkte und deren Versionen, um Angriffsflächen schnell zu identifizieren.

Was zu vermeiden ist

• Vermeiden Sie es, die Anwendung von Sicherheitsupdates angesichts der Schwere der Schwachstellen zu verschieben.
• Ignorieren Sie nicht die Meldungen der ACN/CSIRT Italia zu kritischen Schwachstellen.
• Installieren Sie keine Updates, ohne zuvor das offizielle Bulletin des Anbieters konsultiert und die Auswirkungen verstanden zu haben.

Praktische Auswirkungen

Die Auswirkungen für eine Organisation, die nicht umgehend handelt, sind erheblich: Es besteht das Risiko der Kompromittierung kritischer SAP-Systeme, der Offenlegung sensibler Daten (einschließlich personenbezogener Daten) aufgrund von Information Disclosure oder Privilege Escalation sowie die potenzielle Unterbrechung wesentlicher Geschäftsabläufe durch Denial-of-Service- oder Remote-Code-Execution-Angriffe. All dies kann zu Reputationsschäden, regulatorischen Sanktionen (DSGVO, NIS2) und hohen Wiederherstellungskosten führen.

Zu vermeidende Fehler

• Die Auswirkungen von als „kritisch“ oder „hoch“ eingestuften Schwachstellen unterschätzen.
• Sich ausschließlich auf Perimeter-Sicherheitsmaßnahmen verlassen, ohne interne Software zu aktualisieren.
• Updates ohne vorherige Testphase in Nicht-Produktionsumgebungen durchführen.

Fragen zur Selbsteinschätzung

• Welche SAP-Systeme sind in unserer Infrastruktur vorhanden und welche Versionen verwenden wir?
• Haben wir einen formalisierten und zeitnahen Prozess für die Anwendung von Sicherheitsupdates der Anbieter?
• Wurden die Risiken bewertet, die mit ungepatchten SAP-Schwachstellen in Bezug auf personenbezogene Daten oder wesentliche Dienste verbunden sind?
• Ist unser Notfallwiederherstellungsplan ausreichend, um einen potenziellen Vorfall zu bewältigen, der aus einer unbehobenen SAP-Schwachstelle resultiert?

Verweise

Nationales Recht: ACN / CSIRT Italia Alert AL03/260609/CSIRT-ITA · SAP Security Note: https://support.sap.com/en/my-support/knowledge-base/security-notes-news/june-2026.html · GDPR · Direttiva NIS2 · ISO/IEC 27001