SAP-Patchday 9/2026: Kritische Lücke mit CVSS 10.0

Stand: 14. September 2026

Kurzantwort: Der SAP Security Patch Day vom 9. September 2026 schließt mit CVE-2026-44756 („OVERPASS“) eine Lücke mit dem höchstmöglichen CVSS-Wert 10.0 – ohne Anmeldung aus der Ferne ausnutzbar, betroffen ist nahezu jede klassische SAP-Landschaft. Die HotNews-Patches gehören in das nächstmögliche Wartungsfenster; extern erreichbare Systeme sollten außerplanmäßig gepatcht werden.

Eine Sicherheitslücke mit dem höchstmöglichen CVSS-Wert von 10.0, ausnutzbar ohne Anmeldung, quer durch nahezu die gesamte SAP-Produktpalette: Der SAP Security Patch Day vom 9. September 2026 hat es in sich. Mit 22 Security Notes, darunter fünf der höchsten Kategorie „HotNews“, ist es einer der gewichtigsten Patchdays des Jahres – und er betrifft ausdrücklich nicht nur Konzerne. Auch tausende mittelständische Unternehmen in Deutschland betreiben SAP ERP, S/4HANA oder Business-One-nahe Landschaften, oft ohne dediziertes SAP-Security-Team.

In diesem Beitrag erklären wir, welche Schwachstellen geschlossen wurden, warum die Lücke „OVERPASS“ so gefährlich ist und wie Sie Patch- und Schwachstellenmanagement so organisieren, dass der nächste kritische Patchday kein Feuerwehreinsatz mehr ist.

Die Schwachstellen im Überblick

CVE-2026-44756 „OVERPASS“: Komplettübernahme ohne Anmeldung

Die schwerwiegendste Lücke steckt im SAP-Kernel, konkret in der Bibliothek zur Verarbeitung von Extended-Passport-Headern (EPP). Ein Stack-basierter Pufferüberlauf erlaubt es entfernten Angreifern, ohne Authentifizierung beliebige Betriebssystembefehle mit administrativen SAP-Rechten auszuführen – die vollständige Kompromittierung von Geschäftsdaten und -prozessen.

Drei Punkte machen OVERPASS besonders kritisch. Erstens die Angriffsfläche: Die Lücke ist über das Web (Internet Communication Manager), über SAP GUI und über RFC-Schnittstellen erreichbar. Zweitens die Breite: Betroffen sind unter anderem S/4HANA, ERP/ECC, NetWeaver, Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO und der Solution Manager – also praktisch jede klassische SAP-Landschaft. Drittens die Einstiegshürde: keine Anmeldung, keine Nutzerinteraktion.

Entdeckt wurde die Schwachstelle von den Onapsis Research Labs. Hinweise auf aktive Ausnutzung gab es zum Zeitpunkt der Veröffentlichung nicht – die Erfahrung vergangener SAP-Lücken zeigt jedoch, dass Exploits nach Bekanntwerden oft binnen Tagen kursieren und gezielt nach ungepatchten, aus dem Internet erreichbaren Systemen gesucht wird.

CVE-2026-58240 „S4GET“ und weitere kritische Lücken

Ebenfalls geschlossen wurde eine Authentifizierungsumgehung im NetWeaver Message Server (CVSS 9.8): Angreifer können sich ohne Anmeldung als Cluster-Knoten ausgeben. Hinzu kommen eine Codeausführungslücke in NetWeaver (CVE-2026-66768, CVSS 9.0, erfordert vorherige Authentifizierung) sowie mehrere Schwachstellen hoher Priorität. Insgesamt umfasst der Patchday 22 neue oder aktualisierte Security Notes.

Warum das Thema gerade den Mittelstand trifft

Große Konzerne haben SAP-Basis-Teams, die HotNews-Patches routiniert einspielen. Im Mittelstand sieht die Realität oft anders aus: SAP-Betrieb liegt bei einem externen Dienstleister oder einer kleinen Inhouse-Truppe, Wartungsfenster sind rar, und Security Notes konkurrieren mit dem Tagesgeschäft. Genau diese Lücke zwischen Patch-Verfügbarkeit und Patch-Einspielung ist das Zeitfenster der Angreifer.

Dazu kommt die Compliance-Dimension: Wer als wichtige oder besonders wichtige Einrichtung unter NIS2 fällt, muss ein systematisches Umgehen mit Schwachstellen – Bewertung, Priorisierung, zeitnahe Behebung – nachweisen können. Ein ungepatchtes System mit bekannter CVSS-10.0-Lücke ist im Auditfall wie im Schadensfall kaum zu rechtfertigen. Ein externer Informationssicherheitsbeauftragter (ISB) sorgt dafür, dass Schwachstellen-Prozesse definiert, gelebt und dokumentiert sind.

Sofortmaßnahmen: Das gehört diese Woche auf die Agenda

1. Betroffenheit klären. Erstellen Sie eine aktuelle Übersicht Ihrer SAP-Komponenten und -Releases und gleichen Sie diese mit den September-Security-Notes ab. Wer SAP extern betreiben lässt: Fordern Sie vom Dienstleister eine schriftliche Bestätigung, welche Notes wann eingespielt werden.
2. HotNews priorisiert einspielen. Die Patches für CVE-2026-44756 und CVE-2026-58240 gehören in das nächstmögliche Wartungsfenster – bei aus dem Internet erreichbaren Systemen (Web Dispatcher, Portale, Fiori-Gateways) notfalls in ein außerplanmäßiges.
3. Exposition reduzieren. Prüfen Sie, welche SAP-Dienste überhaupt aus dem Internet erreichbar sein müssen. ICM-, Message-Server- und RFC-Zugänge, die nur intern gebraucht werden, gehören hinter VPN beziehungsweise in segmentierte Netzzonen.
4. Kompromittierung nicht ausschließen, sondern prüfen. Wo Patches verspätet eingespielt werden, sollten Logs auf Auffälligkeiten geprüft werden. Eine 24/7-Überwachung durch ein MDR-Team erkennt verdächtige Aktivitäten auf und um SAP-Systeme – etwa ungewöhnliche OS-Befehle des SAP-Dienstkontos – auch dann, wenn der Angriff vor dem Patch stattfand.
5. Angriffsfläche verifizieren. Ob Ihre SAP-Schnittstellen von außen tatsächlich unsichtbar sind und interne Segmentierung hält, zeigt ein gezielter Penetrationstest zuverlässiger als jede Konfigurationsdokumentation.

Vom Feuerwehreinsatz zum Prozess: Schwachstellenmanagement richtig aufsetzen

Der September-Patchday ist kein Einzelfall – SAP veröffentlicht jeden zweiten Dienstag im Monat Security Notes, Microsoft, Citrix und andere Hersteller ebenso. Erst vergangene Woche warnte das BSI parallel vor einem aktiv ausgenutzten Authentifizierungs-Bypass in Citrix NetScaler ADC und Gateway. Wer jede dieser Meldungen ad hoc bewertet, verliert; wer einen Prozess hat, gewinnt Ruhe.

Ein funktionierendes Schwachstellenmanagement für KMU braucht vier Elemente: ein gepflegtes Asset-Inventar (was betreiben wir überhaupt?), eine verlässliche Informationsquelle (Herstellermeldungen, BSI-Warnungen, CERT-Feeds), klare Priorisierungsregeln (CVSS-Wert, Erreichbarkeit, Geschäftskritikalität) und definierte Reaktionszeiten – etwa 72 Stunden für kritische, extern erreichbare Systeme. Die Erkennung von Angriffen auf noch ungepatchte Systeme übernimmt ergänzend ein Managed-Detection-&-Response-Service, der die Lücke zwischen Bekanntwerden und Behebung absichert – denn null Tage Reaktionszeit schafft kein Patch-Prozess der Welt.

Häufige Fragen

Wie gefährlich ist CVE-2026-44756 wirklich?

Die Lücke trägt mit CVSS 10.0 die höchstmögliche Bewertung: Sie ist ohne Anmeldung aus der Ferne ausnutzbar und erlaubt Betriebssystembefehle mit administrativen SAP-Rechten – also die vollständige Übernahme des Systems samt Geschäftsdaten. Zum Veröffentlichungszeitpunkt gab es keine Hinweise auf aktive Ausnutzung; das kann sich erfahrungsgemäß schnell ändern.

Wir betreiben SAP über einen Dienstleister – müssen wir trotzdem etwas tun?

Ja. Die Verantwortung für die Informationssicherheit bleibt beim Unternehmen. Fordern Sie eine schriftliche Bestätigung an, welche September-Security-Notes bis wann eingespielt werden, und lassen Sie sich Ausnahmen begründen. Prüfen Sie zudem vertraglich vereinbarte Patch-Fristen (SLAs).

Wir haben kein SAP – betrifft uns der Patchday trotzdem?

Indirekt ja: Der Fall steht exemplarisch für das Tempo, mit dem kritische Schwachstellen erscheinen – zeitgleich warnte das BSI etwa vor aktiv ausgenutzten Citrix-NetScaler-Lücken. Jedes Unternehmen braucht einen Prozess, der Herstellerwarnungen systematisch bewertet und kritische Patches priorisiert einspielt.

Reicht Patchen aus, um SAP-Systeme abzusichern?

Patchen ist notwendig, aber nicht hinreichend. Dazu kommen sichere Konfiguration, Netzwerksegmentierung, restriktive Berechtigungen und Monitoring der Systeme – denn zwischen Veröffentlichung einer Lücke und dem Patch-Termin bleibt immer ein Zeitfenster, das nur Angriffserkennung schließen kann.

Fazit

Der SAP-Patchday vom 9. September 2026 zeigt in seltener Deutlichkeit, wie schmal der Grat zwischen Routine und Notfall geworden ist: Eine einzige ungepatchte Komponente kann die vollständige Übernahme der geschäftskritischsten Anwendung im Haus bedeuten. Mittelständler, die Betroffenheit schnell klären, HotNews-Patches priorisieren und die Zeit bis zum Patch mit Überwachung absichern, machen aus der Schlagzeile einen Verwaltungsvorgang.

Wenn Sie unsicher sind, wie es um die Angriffsfläche Ihrer SAP-Landschaft oder Ihr Schwachstellenmanagement insgesamt steht, sprechen Sie uns gern an – ein kurzes Gespräch klärt oft schon die wichtigsten Prioritäten. Kontakt aufnehmen

Quellen

• Born IT- und Windows-Blog: SAP-Schwachstellen (CVE-2026-44756, CVSS 10.0) im Sept. 2026 (10.09.2026)
• it-daily.net: SAP schließt zwei Zero-Day-Schwachstellen
• All About Security: SAP-Patch-Day September 2026: Neue Sicherheitslücken
• Security-Insider: BSI warnt: NetScaler-Bypass in ADC & Gateway aktiv ausgenutzt