SAP NetWeaver gehackt? Kritische HotNews-Lücken CVE-2026-44748, -27671 & -40128 setzen Unternehmen unter Druck
SAP-Patchday Juni 2026: Drei HotNews-Schwachstellen in SAP NetWeaver (CVSS bis 9.9) und eine kritische Spring-Security-Lücke (CVE-2026-22732) in Commerce Cloud & Data Hub.
Der SAP-Patchday Juni 2026 schließt 15 Schwachstellen, davon vier als HotNews / kritisch eingestuft: CVE-2026-44748 (CVSS 9.9, NetWeaver AS ABAP, XML-/Signatur-Bypass), CVE-2026-27671 (CVSS 9.8, SAP-Kernel RFC, unauth. Memory-Corruption mit RCE-Verdacht), CVE-2026-40128 (CVSS 9.0, NetWeaver AS Java, Path Traversal) und CVE-2026-22732 (CVSS 9.1, Spring Security in Commerce Cloud & Data Hub). Sofort: HotNews-Patches einspielen, privilegierte Accounts auditieren, Security-Audit-Log ans SIEM anbinden, Management-Interfaces aus dem Internet entfernen.
SAP-Patchday – Faktenlage
Ereignis
SAP Security Patchday 2026
Hersteller
SAP SE
Kernkomponente
SAP NetWeaver
Priorität
HotNews · Kritisch
Status
Mehrere kritische Lücken
Patch
Verfügbar – sofort einspielen
Die kritischen CVEs im Detail
Quelle: SAP Security Notes / Patchday Juni 2026 · alle vier Lücken sind als HotNews mit CVSS ≥ 9.0 eingestuft.
Komponente
SAP NetWeaver AS ABAP & ABAP Platform
Schwachstellentyp
Signatur-/XML-Verifier-Bypass
Authentifizierte Angreifer mit normalen Rechten können signierte XML-Dokumente manipulieren und am Verifier vorbeischleusen. Folge: gefälschte Identitäten werden akzeptiert, unbefugter Zugriff auf sensible Nutzerdaten, Störung der normalen Systemnutzung.
Komponente
SAP-Kernel · NetWeaver AS ABAP & ABAP Platform
Schwachstellentyp
RFC-Protokollfehler · Memory Corruption (RCE-Verdacht)
Unzureichende Prüfung im RFC-Protokoll des SAP-Kernels. Manipulierte Pakete lösen ohne Authentifizierung Logikfehler in der Speicherverwaltung aus. Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit – kein reines DoS, Schadcode-Ausführung wahrscheinlich.
Komponente
SAP NetWeaver AS Java (Web Container)
Schwachstellentyp
Path Traversal · File Inclusion
Bösartig präparierte HTTP-Login-Anfragen manipulieren Datei-Inklusions-Parameter (Path Traversal). Angreifer können sensible Dateien lesen oder verändern und das System lahmlegen.
Komponente
SAP Commerce Cloud · SAP Data Hub (Spring Security)
Schwachstellentyp
HTTP-Header-Missbrauch
Schwachstelle in Spring Security: Bestimmte HTTP-Header lassen sich missbrauchen. Betrifft mehrere SAP-Produkte, die auf Spring Security aufsetzen.
Zusätzlich behebt SAP weniger schwerwiegende Lücken u. a. in Apache Tomcat (Commerce Cloud), ODP Data Replication APIs, S/4HANA, NetWeaver AS Java JDBC Test Servlet, Wily Introscope Enterprise Manager, MDG, Business Objects BI Platform und Fiori Launchpad. Admins sollten die SAP-Patchday-Übersicht vollständig abarbeiten.
Warum SAP NetWeaver so kritisch ist
SAP NetWeaver ist nicht irgendeine Software. Für viele Unternehmen bildet es das Fundament ihrer ERP-, HR-, Finanz- und Logistiksysteme. Wenn NetWeaver kompromittiert wird, betrifft das nicht nur eine einzelne Anwendung – sondern potenziell die gesamte digitale Infrastruktur eines Unternehmens.
Angreifer interessieren sich längst nicht mehr nur für Windows-Server oder Office-Dokumente. Moderne Cyberangriffe zielen zunehmend auf ERP-Systeme, Produktionsnetzwerke und geschäftskritische Plattformen ab.
Was Angreifer aus NetWeaver-Lücken machen
Remote Code Execution (CVE-2026-27671)
RFC-Kernel-Lücke mit CVSS 9.8 – Speicherverwaltungs-Fehler ohne Authentifizierung auslösbar.
Signature/XML-Bypass (CVE-2026-44748)
Verfälschte signierte Identitätsinformationen werden akzeptiert – CVSS 9.9, HotNews.
Path Traversal (CVE-2026-40128)
AS Java Web Container: Datei-Inklusion über manipulierte HTTP-Login-Anfragen, CVSS 9.0.
Spring-Security-Lücke (CVE-2026-22732)
HTTP-Header-Missbrauch in Commerce Cloud & Data Hub – CVSS 9.1.
Frühere Patchdays mussten teilweise Lücken schließen, bei denen kompromittierte Administrator-Konten ausreichten, um komplette SAP-Landschaften zu übernehmen.
Warum ERP-Systeme für Hacker so interessant sind
Wer SAP kontrolliert, kontrolliert in vielen Unternehmen praktisch alles Geschäftskritische gleichzeitig. Gerade Ransomware-Gruppen haben erkannt: ERP-Systeme sind der „Single Point of Failure". Fällt SAP aus, steht häufig die gesamte Produktion still.
Finanzdaten
Lieferketten
Personaldaten
Produktion
Einkauf & ERP
Kundendaten
Rechnungswesen
Logistik
Das eigentliche Problem: Viele SAP-Systeme sind alt
In der Praxis laufen SAP-Umgebungen oft seit vielen Jahren nahezu unverändert. Systeme wurden erweitert, angepasst und integriert – aber nicht immer konsequent modernisiert. So entstehen gefährliche Kombinationen:
Alte ABAP-Komponenten
Über Jahre gewachsen, kaum dokumentiert, schwer zu patchen.
Legacy-Interfaces
RFC, IDoc, SOAP – oft offen, selten überwacht.
Geteilte Admin-Accounts
Notfall-User mit Vollzugriff, die niemand wirklich kontrolliert.
Fehlende Segmentierung
SAP hängt direkt am Office-Netz, statt streng isoliert zu sein.
Unzureichendes Monitoring
Klassische SOCs haben kaum SAP-Transparenz.
Internet-Exposition
Webportale, VPNs, Fiori-Apps, Dienstleister-Zugänge.
Hinzu kommt: Viele SAP-Systeme sind direkt oder indirekt ans Internet angebunden – etwa über Webportale, VPNs, Fiori-Apps oder externe Dienstleister.
Patchen allein reicht nicht mehr
Viele Unternehmen glauben noch immer, SAP-Sicherheit bestehe nur aus monatlichem Patchen. Die Realität sieht anders aus – moderne SAP-Security braucht zusätzlich:
Kontinuierliches Monitoring der SAP-Landschaft
Erkennung verdächtiger RFC-/HTTP-Aktivitäten
Privileged Access Management (PAM) für SAP-Admins
Strikte Segmentierung kritischer Systeme
Security-Audit-Log + SIEM-/XDR-Anbindung
Härtung aller Admin- und Management-Interfaces
MFA für privilegierte und Notfall-Accounts
Regelmäßige Berechtigungsanalysen (SAP-Profile, kritische Rollen)
Besonders problematisch: SAP-Systeme werden häufig von klassischen SOCs kaum überwacht, weil vielen Security-Teams tiefe SAP-Transparenz fehlt.
NIS2 erhöht den Druck massiv
Mit den neuen Anforderungen aus NIS2 steigt der Druck zusätzlich. Kritische Schwachstellen in ERP-Systemen sind längst kein reines IT-Problem mehr. Geschäftsführer und Verantwortliche können persönlich haftbar gemacht werden, wenn bekannte kritische Sicherheitslücken nicht zeitnah behoben werden. Ungepatchte ERP-Systeme gelten inzwischen als enormes Risiko.
Die eigentliche Frage
Nicht mehr „Wird unser SAP angegriffen?"
Sondern: „Merken wir es überhaupt?"
Viele moderne SAP-Angriffe laufen extrem leise ab – mit legitimen Accounts, gültigen Sessions und internen Berechtigungen. Kompromittierte SAP-Systeme bleiben deshalb teilweise monatelang unentdeckt.
Sofortmaßnahmen für SAP-Verantwortliche
HotNews-Patches priorisieren und im Notfall-Fenster einspielen
Privilegierte SAP-Accounts (SAP*, DDIC, Notfall-User) auditieren
Security-Audit-Log aktivieren und an SIEM/XDR senden
SAP-Management-Interfaces aus dem Internet entfernen
Netzwerksegmentierung zwischen Office, ERP und Backup prüfen
Externes SAP-Security-Audit beauftragen
Fazit: SAP-Patchday ist kein Routine-Update
Die aktuellen kritischen Lücken in SAP NetWeaver sind ein klares Warnsignal: ERP-Systeme stehen längst im direkten Fokus moderner Cyberangriffe. Unternehmen sollten den Patchday als Notfall-Trigger verstehen, nicht als monatliche Pflichtübung.
Wer SAP nicht aktiv überwacht, sieht den Angriff erst, wenn die Produktion bereits steht.
SAP-Security für dein Unternehmen?
Bevor eine ungepatchte NetWeaver-Lücke zum realen Ransomware-Vorfall wird.
SAP-Security-Audit & Berechtigungsanalyse
Segmentierung & Härtung der ERP-Landschaft
SIEM/XDR-Monitoring inkl. SAP-Audit-Log
Häufige Fragen (FAQ)
SAP-Security im Kreis Heinsberg
Ob in Heinsberg (52525), Erkelenz (41812), Wegberg, Hückelhoven (41836), Wassenberg, Geilenkirchen (52511), Aachen, Mönchengladbach, Jülich, Düren oder Krefeld – Wasacon prüft SAP-Landschaften auf Patch-Stand und Härtung, etabliert SIEM-/XDR-Monitoring inkl. SAP-Audit-Log, segmentiert ERP-Netze und unterstützt bei der NIS2-konformen Dokumentation der SAP-Security-Prozesse.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
