SAP Security Patch Day · Juni 2026

    SAPRegulär

    12

    Gesamt

    Deduplizierte CVEs dieses Zyklus. Bei Microsoft zählen nur CVEs, die am Patchday selbst erstmals veröffentlicht wurden, ohne Browser-Updates, Nachträge und Cloud-Korrekturen.

    3

    Kritisch

    CVEs mit CVSS ab 9,0 (kritisch nach NVD-Skala).

    0

    Zero-Day

    Bei Veröffentlichung bereits aktiv ausgenutzt (CISA KEV oder Vendor-Bestätigung).

    0

    KEV

    Im CISA-Katalog Known Exploited Vulnerabilities gelistet: Pflicht für US-Behörden, Best Practice für alle.

    Nach Produktfamilie

    Ohne Zuordnung12 CVEs
    Ohne Zuordnung
    KritischCVE-2026-44748

    SAP NetWeaver Anwendungsserver ABAP und ABAP-Plattform ermöglichen es einem authentifizierten Angreifer mit normalen Berechtigungen, eine gültige signierte Nachricht zu erhalten und geänderte signierte XML-Dokumente an den Verifier zu senden.

    		—9,9
    KritischCVE-2026-27671

    Aufgrund einer fehlerhaften Validierung des RFC-Protokolls im SAP-Kern, der von der ABAP-Anwendungsserver und der ABAP-Plattform in SAP NetWeaver verwendet wird, kann ein nicht authentifizierter Angreifer eine manipulierte RFC-Anfrage senden, die logische Fehler in der Speicherverwaltung ausnutzt und zu einem Speicherfehler führt.

    		—9,8
    KritischCVE-2026-40128

    Der SAP NetWeaver-Anwendungsserver Java (Webcontainer) ermöglicht es einem unauthentifizierten Angreifer, eine bösartige HTTP-Logonanfrage zu erstellen, die Parameter für Dateieinschlüsse manipuliert und so einen Pfadtraversal sowie die Verarbeitung der eingeschlossenen Datei zulässt.

    		—9,0
    HochCVE-2026-44751

    Der Anwendungsserver ABAP führt keine notwendigen Berechtigungsprüfungen für einen authentifizierten Benutzer durch, wodurch ein Angreifer eine Berichtserstellungsanweisung ausführen kann, die Informationen eines anderen Benutzers überschreiben könnte.

    		—7,1
    MittelCVE-2026-44754

    Die Remote Function Call (RFC)-Module der Operational Data Provisioning Data Replication API (ODP-RFC) verfügen nicht über die Identifikation des zulässigen Aufrufers von SAP-internen Anwendungen und werden von Kunden- oder Drittanbieteranwendungen in einer Weise genutzt, die nicht mit der beabsichtigten Verwendung übereinstimmt.

    		—6,6
    MittelCVE-2026-44744

    SAP S/4HANA (On-Premise) enthält eine SQL-Injektionsanfälligkeit in einem remote-fähigen Funktionsmodul-Komponente, die von einem authentifizierten Angreifer ausgenutzt werden könnte, um potenziell nicht autorisierte Datenbankabfragen auszuführen.

    		—6,5
    MittelCVE-2026-44746

    Aufgrund einer reflektierten Cross-Site-Scripting (XSS)-Sicherheitslücke in SAP NetWeaver JAVA (JDBC Test Servlet) könnte ein unauthentifizierter Angreifer eine URL erstellen, die einen bösartigen Skriptcode enthält.

    		—6,1
    MittelCVE-2026-44757

    SAP Wily Introscope Enterprise Manager ermöglicht es einem unauthentifizierten Angreifer, eine speziell gestaltete URL zu erstellen.

    		—4,7
    MittelCVE-2026-44750

    SAP MDG (Review Match Groups Application) führt die erforderlichen Berechtigungsprüfungen für authentifizierte Benutzer nicht durch.

    		—4,3
    MittelCVE-2026-44755

    Die SAP BusinessObjects Business Intelligence-Plattform validiert die von authentifizierten Benutzern bereitgestellten E-Mail-Sende-Parameter nicht ausreichend, was zu einer Schwachstelle für E-Mail-Spoofing führt.

    		—4,3
    MittelCVE-2026-24315

    SAP Fiori Launchpad ermöglicht es Angreifern, bösartige URLs zu erstellen, die willkürliche Serviceanrufe im Fiori-Domain auslösen können.

    		—4,2
    NiedrigCVE-2026-44743

    Unter bestimmten Bedingungen kann die SAP Business Objects-Anwendung sensible Informationen preisgeben, wenn ein nicht autorisierter Angreifer einen spezifischen Endpunkt zugänglich macht.

    		—3,7