Behebung von OVERPASS (CVE-2026-44756): Eine kritische Sicherheitslücke im SAP-Kernel

Am Mittwoch, dem 9. September, um 10:00 Uhr EDT veranstalten SAP und das „ Onapsis Research Labs “ ein gemeinsames Webinar zum Thema Sicherheitsbedrohungen, um diese Schwachstellen und weitere kritische Probleme zu erörtern, die im Rahmen des SAP Patch Tuesday im September 2026 behoben wurden. Hier registrieren

CVSS-Wert: 10,0 (kritisch) | Risikostufe: kritisch, sofortige Maßnahmen erforderlich

Onapsis Research Labs hat eine kritische Schwachstelle bei der Verarbeitung des „Extended Passport“ (EPP) – der standardmäßigen SAP-Tracing-Struktur, die Kunden ihren Anfragen hinzufügen – im SAP-Kernel identifiziert und SAP verantwortungsbewusst gemeldet. Da es sich bei der EPP-Verarbeitung um gemeinsam genutzten Kernel-Code handelt, der von mehr als einem Protokoll verwendet wird, ist die Schwachstelle von der internetseitigen Web-Schicht, von der SAP-GUI-Schicht, mit der sich jeder Endbenutzer verbindet, sowie von der RFC-Schicht, die SAP-Systeme miteinander verbindet, aus erreichbar.

Die Sicherheitslücke, die unter der Kennung CVE-2026-44756 erfasst und von der „ Onapsis Research Labs “ als „OVERPASS“ bezeichnet wurde, hat folgende Auswirkungen:

• Kann aus der Ferne und ohne Authentifizierung ausgenutzt werden;
• Wird als „kritisch“ eingestuft und hat die höchstmögliche CVSS-Bewertung (10,0);
• Ist standardmäßig in einer Vielzahl von SAP-Technologiekomponenten vorhanden;
• Ermöglicht es Angreifern, von einem entfernten Standort aus beliebige Betriebssystembefehle auf dem SAP-Host mit SAP-Administratorrechten auszuführen, was zu einer vollständigen Kompromittierung der zugrunde liegenden SAP-Geschäftsdaten und -Prozesse führt;
• Der Zugriff ist über verschiedene SAP-Komponenten und verschiedene Kommunikationsprotokolle möglich, wobei für keines davon Anmeldedaten erforderlich sind; daher kann kein einzelnes Netzwerk control , das Risiko vollständig mindern.

SAP hat im Rahmen des SAP Patch Day im September den Sicherheitshinweis 3747649 veröffentlicht, der diese Sicherheitslücke behebt. Ein einziger Kernel-Patch schließt alle Angriffsvektoren. Onapsis empfiehlt allen Unternehmen dringend, die Installation der Patches als dringliche Priorität zu behandeln. SAP hat schnell auf diese Offenlegung reagiert und damit sein starkes Engagement für den Schutz des SAP-Ökosystems unter Beweis gestellt.

Zum Zeitpunkt der Veröffentlichung hat „ Onapsis Research Labs “ noch keine aktiven Angriffe in der Praxis festgestellt. Onapsis beobachtet weiterhin die globale SAP-Bedrohungslage und wird seinen Kunden im Falle böswilliger Aktivitäten produktinterne Updates sowie Einblicke in die Bedrohungslage (einschließlich Indikatoren für Kompromittierung) bereitstellen. Diese Sicherheitsempfehlung wird bei neuen Erkenntnissen aktualisiert.

Die „ Onapsis Research Labs “ halten sich an strenge Richtlinien für die verantwortungsvolle Offenlegung. Daher werden in diesem Beitrag technische Details zur Ausnutzung der Schwachstelle vorerst bewusst ausgelassen; der Beitrag konzentriert sich ausschließlich darauf, SAP-Kunden dabei zu helfen, die Schwachstelle „ assess “ zu erkennen und umgehende Maßnahmen zur Risikominderung zu ergreifen.

Das Risiko von OVERPASS verstehen 

Der Extended Passport (EPP) ist eine Standard-Tracing-Funktion von SAP. Laut der SAP-Dokumentation„ermöglichterdie Analyse von Aufrufsequenzen in verteilten Systemlandschaften“, sodass Administratoren Protokollverläufe und Fehlermeldungen miteinander in Zusammenhang bringen und ein durchgängiges Tracing über integrierte SAP- und Nicht-SAP-Systeme hinweg durchführenkönnen. Drei Merkmale des EPP, die alle von SAP öffentlich dokumentiert sind, erklären, warum ein Fehler bei seiner Verarbeitung so schwerwiegend ist:

• Es wird erstellt, wenn eine neue Benutzersitzung eröffnet wird. Die Verarbeitung erfolgt daher ganz zu Beginn einer Verbindung, noch bevor die Sitzung authentifiziert wird.
• Sie werden über Kommunikationsprotokolle wie RFC und HTTP übertragen und stets vom Client an den Server weitergeleitet. Die Daten stammen vom Client, und sie werden von mehr als einem Protokoll übertragen.
• Zwischen ABAP-Systemen ist dies standardmäßig implementiert, sodass die betreffende Funktionalität ohne jegliche Konfiguration seitens des Kunden aktiv ist.

OVERPASS ist eine Schwachstelle im SAP-Kernel-Code, der diese Struktur verarbeitet. Eine speziell gestaltete Anfrage, die an ein betroffenes System gesendet wird, kann ausgenutzt werden, um die „ control “ des empfangenden Prozesses zu übernehmen und von dort aus Betriebssystembefehle auf dem Host auszuführen.

Der Grund, warum kein Passwort dies verhindern kann, liegt im zeitlichen Ablauf. Da EPP beim Öffnen der Sitzung verarbeitet wird, werden alle SAP- control , die festlegen, wer was tun darf – einschließlich Benutzersperren, Rollen, Berechtigungsobjekte und Anmelderichtlinien –, erst nach dem Zeitpunkt ausgewertet, an dem die Sicherheitslücke erreicht wird. Keines dieser Elemente steht dem Angreifer im Weg.

Quelle: SAP-Hilfeportal, „Extended Passport (EPP) “ und „Verwendung des Extended Passport“, ABAP- Platform -Dokumentation.

Ein Fehler, mehrere Möglichkeiten, darauf einzugehen

Da es sich bei der EPP-Verarbeitung um gemeinsamen Kernel-Code handelt, ist derselbe Fehler über völlig unterschiedliche Teile des Systems, über verschiedene Protokolle und in jedem Fall ohne Authentifizierung erreichbar. Onapsis hat mindestens drei Zugriffsvektoren bestätigt:

• Die Webschicht. Der SAP Internet Communication Manager und der SAP Web Dispatcher verarbeiten einen mit einer Webanfrage übermittelten „Extended Passport“. Dies ist die HTTP(s)-Schicht, auf der SAP Fiori, die SAP WebGUI, Webservices und API-basierte Integrationen basieren und die Unternehmen in der Regel im Internet veröffentlichen, um öffentlich zugängliche SAP-Dienste bereitzustellen.
• Die SAP-GUI-Schicht. Der SAP Dispatcher, jene Komponente des SAP-Anwendungsservers, die Benutzerverbindungen entgegennimmt, verarbeitet einen über das SAP-GUI-Protokoll übermittelten „Extended Passport“. Jede klassische SAP-GUI-Anmeldung läuft über ihn.
• Die RFC-Schicht. SAP-Systeme tauschen beim Aufbau einer Remote-Function-Call-Verbindung einen „Extended Passport“ aus. Dies ist der Mechanismus, über den SAP-Systeme miteinander kommunizieren, und bildet die Grundlage für viele Integrationen von Drittanbietern sowie kundenspezifische Integrationen.

Es handelt sich hierbei nicht um unterschiedliche Sicherheitslücken. Es gibt mehrere Zugangswege zu demselben Fehler, weshalb SAP alle diese Wege mit einer einzigen CVE-Nummer und einem einzigen Sicherheitshinweis abdeckt. Das bedeutet auch, dass kein Zugangsweg außer Acht gelassen werden darf, nur weil ein anderer bereits behoben wurde: Ein auf der Web-Ebene abgesichertes System ist weiterhin über die SAP-GUI- und RFC-Schichten erreichbar, und so weiter für jede einzelne Schicht. Die Einschränkung eines einzelnen Protokolls kann zwar hilfreich sein, um das Risiko einzugrenzen, doch nur der Patch schließt alle Sicherheitslücken.

Was die Codeausführung auf dem SAP-Host eigentlich bedeutet

Die betroffenen Komponenten laufen unter dem Betriebssystemkonto, dem die SAP-Installation gehört, sodass die Ausführung von Code unter diesem Konto gleichbedeutend damit ist, das SAP-System vollständig zu kontrollieren. Ein Angreifer kann den SAP Secure Store auslesen, um Datenbank-Anmeldedaten, Passwort-Hashes und alle darin gespeicherten Geschäftsdaten zu erlangen; die Live-Sitzungsdaten der gerade angemeldeten Benutzer einsehen; gespeicherte Anmeldedaten extrahieren, um sich lateral in jedes andere SAP-System zu bewegen, das dem kompromittierten System vertraut; und beliebige Einträge in Anwendungsdaten, Systemkonfigurationen und die SAP-Binärdateien selbst vornehmen. Dies ermöglicht:

• Sabotage: Einsatz von Ransomware, erzwungene Systemabschaltungen, Manipulation von Daten auf Datenbankebene und das Einbauen dauerhafter Hintertüren im SAP-Kernel.
• Spionage: Entwendung von Geschäftsunterlagen, Finanzdaten, Personalakten, Kundenstammdaten und geistigem Eigentum.
• Betrug: Einrichtung von Benutzern mit Sonderrechten, Manipulation von Finanzunterlagen, Änderung von Bankkontonummern von Lieferanten und Abwicklung betrügerischer Zahlungen.
• Regulatorisches Risiko: Auslösung von meldepflichtigen Sicherheitsvorfällen für Organisationen, die den Vorschriften von SOX, NIS2, DSGVO, HIPAA oder PCI-DSS unterliegen.

Betroffene SAP NetWeaver-Produkte und -Komponenten

Der betroffene Code ist Teil des SAP-Kernels, der die Grundlage für den Großteil der Unternehmenssoftware von SAP bildet; daher weist alles, was auf diesem Kernel läuft, ebenfalls diese Schwachstelle auf. Die Auswirkungen erstrecken sich auf SAP S/4HANA, SAP ERP und die SAP Business Suite (ECC), den SAP NetWeaver Application Server ABAP, den SAP Web Dispatcher, SAP BW/4HANA, das SAP Enterprise Portal, SAP PI/PO, den SAP Solution Manager sowie zahlreiche weitere Lösungen, die auf demselben Kernel basieren. Für die meisten SAP-Kunden gilt zunächst die Annahme, dass zumindest einige Systeme betroffen sind, bis das Gegenteil bewiesen ist.

Risiken im Zusammenhang mit dem Internet

Die Web-Ebene ist von ihrer Konzeption her das, was Unternehmen nach außen hin bereitstellen, wenn sie SAP-Funktionen online verfügbar machen. Fiori-Launchpads, die WebGUI, Self-Service-Portale, B2B- und B2C-Anwendungen sowie Machine-to-Machine-APIs laufen alle über diese Ebene und werden häufig im Internet veröffentlicht, damit Mitarbeiter, Partner und Kunden von überall aus auf SAP zugreifen können. Eine Sicherheitslücke bei der Vorab-Authentifizierung in dieser Ebene eröffnet einem Angreifer aus der Ferne einen direkten Zugang zu wertvollen Produktionssystemen, ohne dass er zuvor die Netzwerkgrenzen durchbrechen muss.

Eine gezielte Suche unter Verwendung hochpräziser Fingerabdrücke identifiziert mehr als 10.000 eindeutige, mit dem Internet verbundene IP-Adressen, die eine vom öffentlichen Internet aus erreichbare SAP-Webschnittstelle bereitstellen – und diese Zahl ist noch konservativ geschätzt. Sie berücksichtigt lediglich über HTTP erreichbare Systeme und unterschätzt dabei erheblich den SAP Web Dispatcher, der als Proxy für sein Backend fungiert und auf seinem Stammpfad kein charakteristisches SAP-Banner zurückgibt, was es für internetweite Scanner strukturell schwierig macht, ihn zuzuordnen. Die Exposition ist weltweit verteilt und konzentriert sich auf die Vereinigten Staaten, Deutschland, Indien und China, sowohl in lokalen Netzwerken als auch bei den großen Anbietern von „ cloud “-Diensten.

Das interne Risiko: Die SAP-GUI-Ebene, die Sie nicht schließen können

Der zweite Ansatz ändert die Berechnung für Systeme, die überhaupt nicht online veröffentlicht wurden. Eine direkte Internetpräsenz des SAP Dispatchers ist glücklicherweise selten, doch er ist routinemäßig über das interne Netzwerk erreichbar, da jeder SAP-GUI-Benutzer ihn benötigt. Der Zugriff wird üblicherweise durch die vor den SAP-Systemen angeordneten Firewalls zugelassen und kann nicht gesperrt werden, ohne die Anmeldungen der Endbenutzer zu unterbrechen, auf die das Unternehmen angewiesen ist.

Jeder Angreifer, der bereits Zugang zum internen Netzwerk hat – sei es über einen durch Phishing kompromittierten Arbeitsplatzrechner, eine kompromittierte VPN-Sitzung oder einen ungeschützten Jump-Host –, befindet sich somit bereits in einer günstigen Position. Aus diesem Grund muss eine SAP-Anwendung nicht mit dem Internet verbunden sein, damit OVERPASS ein Risiko darstellt: Selbst ein System ohne jegliche Webpräsenz ist über die Ebene, über die sich seine eigenen Benutzer jeden Morgen anmelden, weiterhin angreifbar. Keine architektonische Änderung kann diese Lücke schließen. Nur der Patch kann dies bewerkstelligen.

Ein bekanntes Muster: Anklänge an die ICMAD

Sicherheitsteams werden das Muster erkennen. OVERPASS spiegelt die ICMAD-Schwachstellen aus dem Jahr 2022 wider, die ebenfalls im gemeinsam genutzten SAP-Kernel-Code lagen und ebenfalls einen CVSS-Wert von 10,0 aufwiesen. ICMAD hat gezeigt, dass kritische Schwachstellen in gemeinsam genutzten Kernel-Komponenten eine enorme Auswirkungsreichweite haben, und OVERPASS untermauert diese Erkenntnis. Die Auswirkungsreichweite beschränkt sich hier nicht auf die Web-Ebene. Die Vergangenheit zeigt zudem, dass Angreifer SAP-Patches innerhalb von 72 Stunden rückentwickeln können, wie im Fall von RECON (CVE-2020-6287), und dieses Zeitfenster wird durch KI-gestützte Tools immer weiter verkürzt. Die massenhafte Ausnutzung von CVE-2025-31324 im Jahr 2025, die im M-Trends-Bericht 2026 von Mandiant als die am häufigsten ausgenutzte Schwachstelle des Jahres bezeichnet wurde, zeigte, was passiert, wenn eine kritische SAP-Sicherheitslücke vor der Authentifizierung ausgenutzt wird, bevor die Verteidiger reagieren können. Genau dieses Szenario soll durch unsere Partnerschaft mit SAP zur koordinierten Offenlegung verhindert werden.

So ermitteln Sie die Exposition gegenüber OVERPASS

Der anfällige Code befindet sich in einer gemeinsam genutzten SAP-Kernel-Quelldatei, daher ist der SAP-Sicherheitshinweis 3747649 die maßgebliche Quelle, in der beschrieben wird, welche Builds betroffen sind. Vergleichen Sie zunächst Ihre Kernel-Version und Ihren Patch-Stand mit den Angaben in diesem Hinweis. Über diese Überprüfung hinaus sollten Sie ein System als betroffen betrachten, wenn einer der folgenden Punkte zutrifft:

• Dort wird SAP-Software eingesetzt, die auf dem SAP-NetWeaver-Kernel basiert und die überwiegende Mehrheit der SAP-Kunden abdeckt.
• Die Web-Ebene ist über das Internet erreichbar, einschließlich der internetgestützten Fiori-Anwendungen, Web-GUI-Oberflächen sowie Webservice- oder API-Endpunkte, oder sie hostet extern veröffentlichte Unternehmensportale, PI/PO-Systeme sowie B2B- und B2C-Anwendungen.
• Der SAP-Dispatcher ist von jedem Ort aus erreichbar, der über einen kontrollierten Kreis von SAP-GUI-Clients hinausgeht, einschließlich des allgemeinen Unternehmensnetzwerks, von Partner- oder Extranet-Segmenten sowie von Netzwerken, die von Drittanbietern verwaltet werden. In den meisten Systemlandschaften trifft dies auf jedes System zu.
• Es handelt sich um ein Entwicklungs-, Test- oder Sandbox-System, das eine Kopie der Produktivdaten enthält, die häufig weniger streng segmentiert sind als die Systeme, aus denen sie kopiert wurden, oder über RFC-Schnittstellen zu übergeordneten Systemen verfügt.
• Es handelt sich um ein älteres oder stillgelegtes System, das immer noch online ist und Daten empfängt, auch wenn sich seit Jahren niemand mehr darin angemeldet hat.

Die drei Angriffswege weisen sehr unterschiedliche Risikoprofile auf. Der Web-Angriffsweg betrifft die Teilmenge der online veröffentlichten Systeme; der SAP-GUI-Angriffsweg betrifft im Wesentlichen jedes SAP-NetWeaver-Application-Server-ABAP-System, da dieser Zugriff den Benutzern von Natur aus offensteht. Eine Risikobewertung, die sich ausschließlich auf internetexponierte Systeme beschränkt, wird die Anzahl der betroffenen Systeme erheblich unterschätzen, und eine Bewertung, die sich auf eine einzelne SAP-Komponente beschränkt, wird Systeme gänzlich außer Acht lassen. Grenzen Sie die Überprüfung anhand des Kernel-Patch-Stands ein – auf den sich der Sicherheitshinweis bezieht –, anstatt danach, welche Dienste ein System zufällig offenlegt.

Leitfaden zur Sanierung

Die Anwendung des SAP-Sicherheitshinweises 3747649 ist die endgültige Lösung und die einzige Maßnahme, mit der die Sicherheitslücke vollständig behoben werden kann. Ein einziger Kernel-Patch schließt alle beschriebenen Zugriffspfade. Onapsis empfiehlt die folgenden Maßnahmen in der angegebenen Reihenfolge:

1. Assess und identifizieren Sie diese. Erstellen Sie ein genaues Risikoinventar, das jedes SAP-System abdeckt, einschließlich vergessener, Schatten- und Nicht-Produktionssysteme. Erfassen Sie für jedes System die Kernel-Version und den Patch-Stand gemäß SAP-Sicherheitshinweis 3747649 und halten Sie fest, welche Netzwerke auf das jeweilige System zugreifen können, da dies die Reihenfolge aller nachfolgenden Schritte bestimmt.
2. Aktualisieren Sie zuerst die Systeme mit Internetanbindung. Beginnen Sie mit allen SAP-Systemen, deren Web-Ebene dem Internet ausgesetzt ist. Diese sind für jeden erreichbar, was sie zur Gruppe mit dem höchsten Risiko macht – unabhängig davon, wie gut der Rest der Infrastruktur segmentiert ist.
3. Als Nächstes sollten Sie die internen Systeme patchen und dies keinesfalls als optional betrachten. Da der SAP-GUI-Zugang auf jedem Anwendungsserver standardmäßig offen ist, ist die Anzahl der internen Systeme größer und sie sind einheitlicher exponiert als die mit dem Internet verbundenen Systeme. Diese Systeme stehen an zweiter Stelle in der Reihenfolge, nicht jedoch in ihrer Wichtigkeit.
4. Reduzieren Sie die Erreichbarkeit, soweit es Ihre Architektur zulässt. Leiten Sie den SAP-GUI-Zugriff über SAProuter oder dedizierte Jump-Hosts weiter und halten Sie den Webzugriff hinter einem Web Dispatcher. Betrachten Sie dies als eine Sicherheitsmaßnahme, die das Risiko im Zusammenhang mit dem nächsten Problem verringert, und nicht als Ersatz für den Patch.
5. Achten Sie auf Ausnutzungsversuche. Stellen Sie sicher, dass Sie Einblick in Ihre SAP-Anwendungsschicht haben, damit Versuche, diese Sicherheitslücke auszunutzen, während der Einführung erkannt und untersucht werden können.

SAP hat einen FAQ-SAP-Hinweis [3776034] mit dem Titel „FAQ-Hinweis zum SAP-Sicherheitshinweis 3747649“veröffentlicht, der zusätzliche Informationen und dokumentierte spezifische Abhilfemaßnahmen enthält, um eine Ausnutzung über den HTTP-Datenverkehr gemäß Hinweis 3756304 zu verhindern.

Eines sollte klar gesagt werden: SAP-Berechtigungen und Kontrollen zur Aufgabentrennung (Segregation of Duties, SoD) helfen hier nicht weiter. Der anfällige Code wird vor jeglichem Authentifizierungsschritt ausgeführt, sodass das Sperren von Benutzern, die Verschärfung von Rollen, die Durchsetzung von Passwortrichtlinien oder die Einschränkung des Zugriffs auf Transaktionen keinen Einfluss auf diesen Angriffspfad haben. Wenn Sie aufgrund betrieblicher Einschränkungen nicht umgehend einen Patch installieren können, sollten Sie Ausgleichskontrollen einsetzen, um aktiv auf Ausnutzung und Anzeichen für eine Kompromittierung zu überwachen, bis der Patch installiert ist.

Automatisierung des SAP-Schwachstellenmanagements und der Bedrohungserkennung für OVERPASS 

Das „ Onapsis Research Labs “ identifiziert kritische Schwachstellen in geschäftskritischen Anwendungen und meldet diese auf verantwortungsvolle Weise. Diese firmeneigene „ threat intelligence “ bildet die Grundlage für die automatisierten Funktionen zum SAP-Risikomanagement und zur Erkennung von Bedrohungen innerhalb der Onapsis- Platform. Als einzige von SAP empfohlene Lösung für Anwendungssicherheit unterhält Onapsis eine koordinierte Partnerschaft zur Offenlegung von Sicherheitslücken mit dem SAP Product Security Response Team. Diese Zusammenarbeit bietet dem globalen SAP-Ökosystem messbaren Schutz, was sich unter anderem an folgenden Punkten zeigt:

• Die Entdeckung und Behebung von über 1.000 Zero-Day-Sicherheitslücken in SAP-Geschäftsanwendungen.
• Bereitstellung von „Pre-Patch“- threat intelligence en, um Unternehmen vor neu auftretenden Exploits wie OVERPASS zu schützen.
• Laufende Nennung auf der offiziellen SAP-Seite mit Danksagungen an Sicherheitsforscher.

Geschützt VOR dem Patch

Da die „ Onapsis Research Labs “ die Schwachstellen entdeckt hatten, wurden die zum Schutz vor diesen Schwachstellen erforderlichen Informationen und Erkennungsinhalte im Rahmen des koordinierten Offenlegungsprozesses entwickelt und an die Kunden bereitgestellt, wodurch Onapsis-Kunden bereits vor der Veröffentlichung des Patches Schutz vor Zero-Day-Angriffen erhielten. 

Onapsis Defend war in der Lage, Versuche zu erkennen, die Schwachstellen auf der SAP-Anwendungsebene auszunutzen, und das „ Onapsis Research Labs “ nutzte sein globales „ Threat Intelligence Network“, um die weltweite SAP-Bedrohungslandschaft auf erste Anzeichen böswilliger Aktivitäten zu überwachen.

Wird NACH dem Patch unterstützt

Sobald SAP den Sicherheitshinweis 3747649 für OVERPASS veröffentlicht hatte, gingen die Onapsis-Kunden im gesamten „ platform “ sofort von der Erkenntnis zur Umsetzung über:

• Onapsis Assess ermittelt anhand von umsetzbaren SAP- threat intelligence -Feeds automatisch, welche SAP-Systeme betroffen sind, priorisiert die zugehörigen SAP-Sicherheitshinweise innerhalb des gesamten Patch-Rückstands und überprüft, ob der Fix korrekt und vollständig angewendet wurde.
• Onapsis Defend bietet eine kontinuierliche Überwachung der SAP-Anwendungsebene, sodass Versuche, die OVERPASS-Sicherheitslücke auszunutzen, in Echtzeit erkannt und untersucht werden können.
• Das „ Onapsis Research Labs “ verfolgt weiterhin Ausnutzungsversuche, Indikatoren und das Verhalten von Angreifern in der Praxis und speist aktualisierte Erkenntnisse in die Erkennungsinhalte und „Threat Dispatches“ für Kunden ein, damit der Schutz mit den sich ständig weiterentwickelnden Bedrohungen Schritt halten kann.

Zusammen verwandelt dieser Schutz ein stressiges Patch-Ereignis, bei dem alle Mitarbeiter mit anpacken müssen, in einen strukturierten, messbaren Prozess, der Kunden vom Zero-Day-Schutz vor der Veröffentlichung des Patches über priorisierte Abhilfemaßnahmen bis hin zur kontinuierlichen Sicherstellung führt, dass die Korrektur hält und Ausnutzungsversuche erkannt werden. Das bedeutet es für einen Sicherheitsanbieter, SAP-Kunden zu informieren und ihnen einen deutlichen Vorsprung gegenüber der Bedrohung zu verschaffen: robuster Schutz vor der Veröffentlichung des Patches, fachkundige Begleitung bei der Behebung nach der Veröffentlichung des Patches und kontinuierliche Überwachung der Bedrohung noch lange nach dem „Patch Tuesday“, um sicherzustellen, dass die Kunden weiterhin geschützt sind.

Nächste Schritte zur Absicherung Ihrer SAP-Landschaft

OVERPASS (CVE-2026-44756) ist eine Sicherheitslücke mit höchster Schweregradstufe, die vor der Authentifizierung ausgenutzt werden kann und im gemeinsam genutzten SAP-Kernel-Code liegt. Sie ist sowohl über die internetseitige Web-Schicht als auch über die SAP-GUI-Schicht, mit der sich jeder Endbenutzer verbindet, und über die RFC-Schicht, die SAP-Systeme miteinander verbindet, erreichbar. Die Folge ist keine bloße Störung, sondern eine vollständige Kompromittierung: Beliebige Betriebssystembefehle werden als das Konto ausgeführt, dem das SAP-System gehört, und von dort aus sind die Datenbank, die Geschäftsdaten sowie die Vertrauensbeziehungen zu jedem verbundenen SAP-System gefährdet.

Wenden Sie den SAP-Sicherheitshinweis 3747649 jetzt an, wobei Sie Ihren Systemen mit Internetanbindung Vorrang einräumen sollten, und wenden Sie sich an das Onapsis-Team, falls Sie Unterstützung beim Verständnis Ihrer Sicherheitsrisiken benötigen, um die Behebung der Schwachstellen in Ihrer gesamten SAP-Landschaft zu beschleunigen.

Bestehende Onapsis-Kunden erhalten bereits Unterstützung über Assess und Defend. Unternehmen, die noch keine Kunden sind, können über Onapsis Research Labs ein SAP- Threat Intelligence -Briefing anfordern, um ihre Anfälligkeit gegenüber OVERPASS und anderen kritischen Risiken zu ermitteln.

Zur Erinnerung: Nehmen Sie am Mittwoch, dem 9. September, um 10:00 Uhr EDT live an unserem Webinar zum Thema „Threat Briefing“ mit SAP teil. Melden Sie sich hier an.

Onapsis Research Labs hat diese Sicherheitslücken im Rahmen eines koordinierten Offenlegungsverfahrens an SAP gemeldet. Entsprechend diesem Verfahren werden technische Details, die zur Ausnutzung der Schwachstellen beitragen könnten, in diesem Beitrag bewusst nicht genannt.