Auf den Punkt: SAP behebt drei kritische Sicherheitslücken (CVE-2026-44747, CVE-2026-27690, CVE-2026-44761) in NetWeaver, AppRouter und Commerce Cloud, die Speicherbeschädigung, DoS-Angriffe und Token-Diebstahl ermöglichen.
SAP hat im Juli 2026 insgesamt 16 Sicherheitslücken geschlossen, darunter drei kritische Schwachstellen in zentralen Produktkomponenten. Für CISOs relevant: Zwei der kritischen Lücken ermöglichen unauthentifizierten Angriffsvektor beziehungsweise Datenzugriff mit vorinstallierten Anmeldedaten.
Im Rahmen des monatlichen Patchdays im Juli 2026 hat SAP 16 Sicherheitslücken geschlossen. Drei wurden als kritisch eingestuft: CVE-2026-44747 im NetWeaver Application Server ABAP, CVE-2026-27690 im SAP AppRouter und CVE-2026-44761 in der SAP Commerce Cloud.
CVE-2026-44747 betrifft den NetWeaver Application Server ABAP und beschreibt einen Fehler beim Schreiben außerhalb der Puffergrenzen (Buffer Overflow). Ein authentifizierter Angreifer kann logische Fehler in der Speicherverwaltung ausnutzen, um Speicherbeschädigung zu verursachen. Dies gefährdet die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung. CVE-2026-27690 betrifft den AppRouter, eine auf Node.js basierende Middleware-Bibliothek der SAP Business Technology Platform. Unauthentifizierte Angreifer können speziell manipulierte HTTP-Anfragen nutzen, um auf Benutzerantworten zuzugreifen oder Denial-of-Service-Angriffe auszulösen. CVE-2026-44761 in der Commerce Cloud erlaubt Angreifern, über voreingestellte Anmeldedaten gültige Zugriffstoken zu erlangen und Daten über bestimmte APIs zu lesen oder zu verändern.
Zusätzlich zu den kritischen Lücken wurden sechs Schwachstellen mit hohem, sieben mit mittlerem und eine mit geringem Schweregrad behoben. Die Palette umfasst DLL-Hijacking, fehlende Berechtigungsprüfungen, Remote-Code-Execution, Cross-Site-Scripting, SQL-Injection und Informationsausleitung. Nach SAP-Angaben gibt es derzeit keine Hinweise auf aktive Exploitierung der neuen Lücken.
Allerdings warnt die US-Cybersicherheitsbehörde CISA: Seit November 2021 sind bereits 14 SAP-Sicherheitslücken in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen worden, zwei davon wurden durch Ransomware-Banden missbraucht. Im Juni 2026 hatte SAP 15 Lücken geschlossen, während zeitgleich offizielle npm-Pakete in einem Supply-Chain-Angriff kompromittiert wurden, um Entwickler-Anmeldedaten zu stehlen. Dies unterstreicht die historische Relevanz von SAP-Sicherheitsupdates in Angreifer-Playbooks.
Quelle: www.it-daily.net · Erschienen 15. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.