Ein Blick in den SAP-MII-Sicherheitslücken-Cluster: Patch-Day im August 2026

SAP hat am 11. August 2026 28 neue Sicherheitshinweise veröffentlicht. Während sich die monatlichen Berichte zu Sicherheitslücken in der Regel auf die CVSS-Werte konzentrieren, steht in diesem Monat eine bestimmte Produktgruppe im Mittelpunkt. Sechs der veröffentlichten Hinweise betreffen eine einzige Komponente: SAP Manufacturing Integration and Intelligence (MII). Onapsis Research Labs Alle sechs Sicherheitslücken wurden im Rahmen einer einzigen, kontinuierlichen Forschungsarbeit aufgedeckt.

Das Paket umfasst zwei kritische Sicherheitslücken (CVSS 9,9 und 9,1), drei Schwachstellen mit hoher Priorität und ein Problem mit mittlerer Priorität. Für sich genommen stellt jeder Eintrag einen behebbaren Fehler dar. In ihrer Gesamtheit beschreiben die Ergebnisse jedoch eine systemische architektonische Schwachstelle in der Art und Weise, wie der „ platform “ vom Aufrufer bereitgestellte Transformationslogik, Dateipfade und Autorisierungsgrenzen verarbeitet hat.

Warum SAP MII ein besonders attraktives Cyber-Ziel ist

SAP MII fungiert nicht als peripheres Berichterstellungstool. Die Anwendung dient als primäre Übersetzungsschicht zwischen den Anlagenkomponenten der Betriebstechnik (OT) und der Geschäftslogik des Unternehmensressourcenplanungssystems (ERP). SAP MII wandelt Emissionsdaten von Maschinen, Historien und Liniensteuerungen in für das ERP-System verwertbare Datensätze um und leitet gleichzeitig Fertigungsaufträge und Spezifikationen an die Werksnetzwerke weiter.

Diese doppelte Erreichbarkeit macht den „ platform “ besonders anfällig. Durch die Ausführung von Befehlen auf einem SAP-MII-Host gelangt ein Angreifer genau an den architektonischen Schnittpunkt, dem sowohl OT- als auch IT-Netzwerke vertrauen. Eine Ausnutzung dieser Schwachstelle in einer Fertigungsumgebung gefährdet Geschäftsdaten, die Integrität von Produktionsprozessen, Chargenprotokolle und sicherheitsrelevante Betriebsanweisungen.

Die Transformation Engine: Zwei kritische Befunde zur Code-Injektion

Beide kritischen Befunde lassen sich auf die Art und Weise zurückführen, wie SAP MII XSL-Transformationen verarbeitet hat. Die Umwandlung einer industriellen Datendarstellung in eine andere ist eine zentrale Anforderung der Anwendung. Allerdings führten Schwachstellen bei der Vertrauenszuweisung in der Transformations-Engine zu erheblichen Risiken der Remote-Code-Ausführung.

• CVE-2026-44772 (CVSS 9,9, SAP-Hinweis 3765948): Behebt eine kritische Code-Injection-Sicherheitslücke im XSL-Transformationspfad. Das Problem ist auf eine Fehlbewertung der Vertrauenswürdigkeit zurückzuführen: Eingaben, die eigentlich als inerte Daten hätten behandelt werden müssen, konnten den „ platform “ dazu veranlassen, vom Aufrufer angegebene externe Inhalte abzurufen und zu verarbeiten. Sobald eine Anwendung Logik abruft und ausführt, die von außerhalb ihrer Vertrauensgrenze bereitgestellt wird, bricht die Unterscheidung zwischen der Verarbeitung eines Dokuments und der Ausführung eines Programms zusammen. Der SAP-Hinweis 3765948 erfordert eine obligatorische Konfiguration nach dem Patch. Administratoren müssen den Secure Transformer- control manuell aktivieren und die Zulassungsliste „Allowed Hosts“ füllen. Ein gepatchtes System ohne diese Konfiguration nach dem Patch wird als konform gemeldet, bleibt jedoch vollständig anfällig.
• CVE-2026-44758 (CVSS 9.1, SAP-Hinweis 3758900): Betroffen ist IllumXSLTServlet, ein Endpunkt, der direkt vom Aufrufer bereitgestellte Stylesheets kompilierte. Das Kompilieren von vom Aufrufer bereitgestellter Logik ist funktional gesehen eine Einladung zur Ausführung von vom Aufrufer bereitgestelltem Code. Anstatt den Endpunkt abzusichern, hat SAP IllumXSLTServlet vollständig entfernt. Diese Korrektur hat funktionale Auswirkungen: Integrationen, die stillschweigend von diesem Servlet abhängig waren, werden nicht mehr funktionieren, ohne dass dabei ein offensichtlicher Fehler auftritt. 

Für keine der beiden Schwachstellen sind Administratorrechte erforderlich. Beide Schwachstellen sind für authentifizierte Benutzer mit geringen Berechtigungen ausnutzbar. In OT-nahen Umgebungen gibt es zahlreiche Dienstkonten, die über einen langen Zeitraum bestehen, in zahlreichen Integrationen gemeinsam genutzt und häufig in Runbooks dokumentiert sind. Die geringen Berechtigungsanforderungen in Verbindung mit der Ausführung von beliebigem Code auf einer netzwerkübergreifenden Brückenkomponente führten zu diesen kritischen CVSS-Werten.

Pfaddurchlauf- und Autorisierungslücken

Die verbleibenden vier Hinweise im Cluster beziehen sich auf fehlende Berechtigungsprüfungen und Lücken bei der Dateiverwaltung, die es Angreifern ermöglichen, ihren Zugriff zu festigen oder interne Erkundungen durchzuführen:

• CVE-2026-44763 (CVSS 7.6, SAP-Hinweis 3759854): Betrifft eine Path-Traversal-Sicherheitslücke in der SSCE-Schnittstelle. Bei Dateispeichervorgängen fehlte eine ordnungsgemäße Verzeichnisbeschränkung, wodurch das Schreiben beliebiger Dateien außerhalb der vorgesehenen Verzeichnisse möglich war. Das Schreiben beliebiger Dateien dient in der Regel als Zwischenschritt in mehrstufigen Exploit-Ketten.
• CVE-2026-44765 (CVSS 7.3, SAP-Hinweis 3758657): Behebt eine fehlende Berechtigungsprüfung bei Planungsfunktionen. Unbefugte Aufrufer konnten Anwendungsplanungsdaten abrufen, anlegen, ändern oder löschen, wodurch sie die Möglichkeit erhielten, Aufgaben wiederholt unter der Identität „ platform “ auszuführen. Die Korrektur führt neue Rollenzuweisungen ein, die eine gezielte Überprüfung der Rollengestaltung erfordern und nicht einfach routinemäßig importiert werden können.
• CVE-2026-44764 (CVSS 7.3, SAP-Hinweis 3758910): Behebt eine fehlende Berechtigungsprüfung bei Cost-Servlet-Vorgängen, bei denen durch speziell gestaltete Parameterwerte unbefugte Backend-Vorgänge zum Lesen, Anlegen, Ändern oder Löschen von Geschäftsdaten möglich waren. Behebung erfolgt über ein Support-Paket.
• CVE-2026-58244 (CVSS 4.3, SAP-Hinweis 3781137): Erzwingt Autorisierungsprüfungen für Funktionen von Benutzerkonten. Authentifizierte Angreifer mit geringen Berechtigungen könnten auf eingeschränkte Benutzerinformationen zugreifen und so die für Erkundungszwecke erforderlichen Informationen erhalten.

Das zugrunde liegende Muster: Eine einzige Entwurfsannahme

Die Analyse der sechs Hinweise als Ganzes lässt ein zugrunde liegendes Muster erkennen. SAP MII hat wiederholt vom Aufrufer bereitgestellte Anweisungen (Stylesheets, Dateipfade, geplante Aktionen und privilegierte Vorgänge) akzeptiert, ohne die Berechtigung des Aufrufers konsequent zu überprüfen oder die Eingaben zu validieren.

Durch die Umsetzung der sechs Sicherheitshinweise lassen sich bestimmte Fehlerfälle beheben. Eine nachhaltige Risikominderung erfordert jedoch eine Neubewertung der Netzwerkexposition, um zu überprüfen, welche Identitäten und Netzwerksegmente auf SAP-MII-Endpunkte zugreifen können.

Dieser Cluster stellt eine weit verbreitete Voreingenommenheit im Bereich der Cybersicherheit in Frage: den Instinkt, Schwachstellen, die eine Authentifizierung erfordern, zu unterschätzen. In einem OT-nahen Kontext ist dieser Instinkt gefährlich. Da Dienstkonten häufig gemeinsam genutzt werden, lange bestehen bleiben und in Runbooks dokumentiert sind, beschreibt der Begriff „erfordert geringe Berechtigungen“ faktisch einen großen Teil der Benutzer in einem Anlagennetzwerk. Die authentifizierte Codeausführung auf einer Brückenkomponente muss als Befund von höchster Bedeutung behandelt werden. 

Umsetzbarer Sanierungsplan

Sicherheitsteams, die SAP MII verwalten, sollten die folgenden Maßnahmen zur Behebung des Problems durchführen:

1. Wenden Sie alle sechs Sicherheitshinweise an: Installieren Sie die SAP-Hinweise 3765948, 3758900, 3759854, 3758657, 3758910 und 3781137. Durch die Behebung von Berechtigungslücken wird verhindert, dass Angreifer einen ersten Zugriff ausnutzen können.
2. Konfiguration nach dem Patch durchführen: Aktivieren Sie die Eigenschaft „Secure Transformer“ und füllen Sie das Feld „Allowed Hosts“ gemäß den Anweisungen in Hinweis 3765948 aus.
3. Integrationen prüfen: Identifizieren Sie alle internen und von Drittanbietern stammenden Integrationen, die IllumXSLTServlet aufrufen, bevor Sie den Hinweis 3758900 anwenden, um unerwartete Betriebsausfälle zu vermeiden.
4. Umsetzung des „Least-Privilege“-Rollenkonzepts: Überprüfen Sie die durch Hinweis 3758657 erstellten neuen Rollenzuweisungen sorgfältig und vermeiden Sie dabei zu weit gefasste Rollenzuweisungen, die Sicherheitslücken wieder aufleben lassen könnten.
5. Erreichbarkeit von Endpunkten einschränken: Überprüfen Sie die Netzwerksegmentierung, um sicherzustellen, dass nur autorisierte OT- und IT-Systeme auf SAP-MII-Schnittstellen zugreifen können.

Überprüfung: Onapsis-Kunden können den Onapsis- Assess nutzen, um die Umgebung zu scannen, die erfolgreiche Bereitstellung aller Patches zu bestätigen und die erforderlichen manuellen Konfigurationsänderungen zu überprüfen.

Quelle: Alle sechs SAP-MII-Sicherheitslücken wurden entdeckt und SAP verantwortungsbewusst gemeldetOnapsis Research Labs. Die Forschungsarbeit wurde von Adrian Radulescu geleitet.