SAP Patchday September 2026: CVSS 10.0 im Kernel, kein Workaround
SAP schließt am 8. September 17 Schwachstellen, vier davon kritisch. Die schwerste erreicht CVSS 10.0, ist vorauthentifiziert ausnutzbar und lässt sich nicht abschalten. Der Fix verlangt einen Kernel-Austausch — und damit ein Wartungsfenster, das Wochen entfernt liegt.
SAP hat am 8. September 2026 vier kritische Schwachstellen geschlossen. Die schwerste erreicht mit CVSS 10.0 den Höchstwert der Skala und betrifft nahezu jedes NetWeaver-System. Das BSI hat dazu gewarnt.
Bemerkenswert an diesem Zyklus ist weniger die Bewertung als die Behebung: Der Fix ist kein Transport, sondern ein Kernel-Austausch mit Instanz-Neustart. Damit entsteht für die meisten Betreiber ein Zeitraum von Wochen, in ungünstigen Fällen Monaten, in dem die Schwachstelle offen bleibt — bei laufendem Betrieb und ohne Möglichkeit, sie zu umgehen.
Die vier kritischen Positionen
CVE-2026-44756 — CVSS 10.0, Extended Passport Processing
Speicherkorruption in der Verarbeitung von Extended-Passport-Daten im SAP-Kernel. Ein nicht authentifizierter Angreifer kann sie über eine Netzwerkanfrage mit fehlerhaftem EPP-Header auslösen. Betroffen sind Kernel-Releases 7.22 bis 9.20 sowie SAP Web Dispatcher 9.16 bis 9.20.
Zwei Eigenschaften machen die Schwachstelle unangenehm. Erstens ist sie über drei Wege erreichbar: Web beziehungsweise ICM, SAP GUI und RFC. Zweitens sitzt sie im diagnostischen Pfad, nicht in einer Geschäftsfunktion — es gibt kein Modul zum Abschalten und keine Berechtigung zum Entziehen. Einen Workaround gibt es nicht.
CVE-2026-58240 — CVSS 9.8, NetWeaver Message Server
Der Message Server prüft die Authentizität interner Anwendungsserverkomponenten bei der Registrierung nicht ausreichend. Ein nicht authentifizierter Angreifer mit Netzzugang kann eine fremde Komponente als vertrauenswürdiges Mitglied der Landschaft anmelden. Betroffen ist jede verteilte ABAP- oder Java-Landschaft.
CVE-2026-66768 — CVSS 9.0, SAP GUI for Java
Die Vertrauensstufenrichtlinie für Funktionen, die ein verbundenes Backend aufruft, wird nicht korrekt durchgesetzt. Ausnutzbar nur über ein bereits manipuliertes Backend-System, dann aber mit Befehlsausführung auf dem Arbeitsplatzrechner. Wegen der breiten Verteilung ein Fall für die Softwareverteilung, nicht für das Wartungsfenster.
CVE-2026-76969 — CVSS 9.4, @sap/cds-mtxs
Unzureichende Prüfungen in der NPM-Bibliothek für mandantenfähige CAP-Anwendungen. Relevant nur bei mandantenfähigen CAP-Anwendungen auf SAP BTP mit aktivierter Erweiterbarkeit.
Reihenfolge: erst Exposition prüfen, dann patchen
Vor dem ersten Change lohnt eine Bestandsaufnahme. Sie kostet etwa eine Stunde und verändert die Dringlichkeit in beide Richtungen erheblich:
- Ist der ICM beziehungsweise der Web Dispatcher aus dem Internet erreichbar?
- Sind die Message-Server-Ports über die Netzgrenze hinaus erreichbar? Das sollten sie nie sein.
- Aus welchen Netzen sind RFC- und SAP-GUI-Zugriffe zugelassen?
Wo sich Erreichbarkeit einschränken lässt, gehört das vor den Patch — nicht danach. Konkret: Message Server ACL über ms/acl_info, Gateway-Absicherung über secinfo und reginfo, RFC- und GUI-Zugang auf bekannte Netze begrenzen.
Das ersetzt den Patch nicht. Es verkleinert die Angriffsfläche für den Zeitraum, in dem der Patch noch im Change-Prozess liegt.
Überwachung als Brücke
Für alle vier Schwachstellen gilt derzeit: keine beobachtete Ausnutzung, kein öffentlicher Proof-of-Concept, EPSS-Werte im Bereich von 0,2 bis 0,3 Prozent. Die Wahrscheinlichkeit einer Ausnutzung ist heute gering. Das ist die ehrliche Einordnung — es besteht kein Anlass zur Hektik.
Der Punkt ist ein anderer: Wann ein Exploit verfügbar wird, ist nicht vorhersehbar und liegt nicht in der Hand des Betreibers. Wie lange ein Kernel-Austausch durch Freigabe, Wartungsfenster und Regressionstest braucht, dagegen schon. Diese beiden Zeiträume lassen sich nicht synchronisieren. Was bleibt, ist Erkennung.
Beide Top-Positionen hinterlassen dabei charakteristische Spuren:
| Signal | Deckt ab |
|---|---|
| Unerwartete Registrierung von Applikationsservern am Message Server | CVE-2026-58240, direkt |
| Abstürze und abnorme Beendigung von Workprozessen, ST22-Dumps, Kernel-Crashes | Ausnutzungsversuche der EPP-Lücke — Speicherkorruption endet typischerweise im Absturz |
| Gateway- und ICM-Logs auf unautorisierte Verbindungen | beide |
| SAP Security Audit Log (SM19/RSAU) | Grundlage für alles Weitere |
Das Security Audit Log ist in vielen Landschaften aktiviert, wird aber nicht ausgewertet. Es in ein SIEM zu überführen, ist Tagesarbeit und wirkt sofort — auch unabhängig von diesem Patchday.
Für Betreiber unter NIS2
Die Frist von 24 Stunden für die Erstmeldung und 72 Stunden für den Detailbericht läuft ab Kenntnis eines erheblichen Vorfalls. Wer nicht überwacht, erlangt keine Kenntnis. Die Frist beginnt dann nicht — was zunächst entlastend klingt, im Nachhinein aber die schwierigere Position ist, weil sich der Zeitpunkt einer Kompromittierung forensisch bestimmen lässt und die unterlassene Überwachung dokumentiert bleibt.