top of page
Suche

SAP Patchday Oktober 2026: fünf Security Notes, zweimal CVSS 9,9

vor 11 Minuten
5 Min. Lesezeit

SAP Security News · 10/2026

Fünf Schwachstellen mit erhöhtem Risiko, drei davon im kritischen Bereich

Der SAP Patchday im Oktober 2026 umfasst fünf sicherheitsrelevante Schwachstellen mit erhöhtem Risiko, bewertet nach dem Common Vulnerability Scoring System mit einem CVSS-Wert von 7,0 oder höher. Drei davon liegen im kritischen Bereich ab 9,0. Zwei erreichen den Wert 9,9: eine Code Injection in SAP S/4HANA und eine fehlerhafte Zugriffskontrolle im SAP NetWeaver Visual Composer.

Veröffentlicht am 13. Oktober 2026 · Bewertungsmaßstab CVSS · Lesezeit 4 Minuten

5

Notes mit erhöhtem Risiko, CVSS ab 7,0

3

davon kritisch, CVSS ab 9,0

9,9

höchster CVSS-Wert im Monat

5

betroffene SAP-Komponenten


Kritische Meldungen, CVSS ab 9,0

Diese drei Notes gehören zuerst auf den Tisch.

Note 3797111 · CVE-2026-89110 · Komponente EP-VC-RTM

SAP-Titel: Broken Access Control in SAP NetWeaver Visual Composer

Symptom: SAP NetWeaver Visual Composer führt in bestimmten Portalfunktionen keine ausreichenden Berechtigungsprüfungen durch. Ein Angreifer mit geringen Rechten könnte so interne Operationen in einem vorkonfigurierten Remote-System ausführen. Abhängig von der Konfiguration der Remote-Verbindung könnte dies zu einer vollständigen Kompromittierung des Remote-Systems führen. Dies führt zu hohen Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit.

Note 3805589 · CVE-2026-89107 · Komponente FI-SL-VSR

SAP-Titel: Code Injection vulnerability in SAP S/4HANA (Manage Substitution/Validation Rules)

Symptom: SAP S/4HANA (Substitutions-/Validierungsregeln verwalten) validiert die von der Regeldefinitionsfunktion verarbeitete Eingabe, die eine domänenspezifische Skriptsprache verwendet, nicht ausreichend. Ein authentifizierter Angreifer mit bestimmten Geschäftsberechtigungen könnte speziell gestaltete Eingaben senden, die von der Regelverarbeitungslogik als ausführbarer ABAP-Code interpretiert werden. Eine erfolgreiche Ausnutzung könnte es dem Angreifer ermöglichen, beliebigen ABAP-Code im System auszuführen, was zu einer vollständigen Kompromittierung des betroffenen Systems und großen Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Systems führt.

Note 3798788 · CVE-2026-89108 · Komponente MFG-MII

SAP-Titel: Missing Authorization check in SAP Manufacturing Integration and Intelligence (Configuration Service)

Symptom: SAP Manufacturing Integration and Intelligence setzt Berechtigungsgrenzen innerhalb bestimmter administrativer Funktionen nicht ausreichend durch. Ein Angreifer mit SAP-MII-Administratorberechtigungen kann einen speziell gestalteten Request senden, um ein Konto mit erweiterten Berechtigungen auf dem zugrunde liegenden Java-Anwendungsserver zu provisionieren. Die erfolgreiche Ausnutzung der Schwachstelle könnte es dem Angreifer ermöglichen, die administrative Kontrolle über das zugrunde liegende System zu erlangen, wodurch die Auswirkungen über die anfällige Anwendung hinausgehen würden. Dies hat erhebliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.


Weitere Meldungen mit erhöhtem Risiko

CVSS 7,0 bis 8,9, nach Bewertung absteigend sortiert.

Note 3800517 · CVE-2026-89113 · Komponente CEC-SCC-PLA-PL

SAP-Titel: SQL Injection vulnerability in SAP Commerce Cloud (OOTB Code)

Symptom: SAP Commerce Cloud validiert bestimmte Benutzereingaben nicht ausreichend, bevor diese in eine Datenbankabfrage integriert werden. Ein authentifizierter Benutzer kann speziell gestaltete Requests an die betroffenen Funktionen senden, um beliebige SQL-Befehle einzuschleusen. Die erfolgreiche Ausnutzung der Schwachstelle könnte es dem Benutzer ermöglichen, sensible Daten aus der Datenbank der Anwendung zu lesen, zu ändern oder zu löschen. Dies hat erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.

Note 3765424 · CVE-2026-58249 · Komponente BC-CST-IC

SAP-Titel: Memory Corruption vulnerability in SAP NetWeaver and SAP Web Dispatcher (Internet Communication Manager)

Symptom: SAP NetWeaver und SAP Web Dispatcher validieren bestimmte Felder in speziell gestalteten Requests, die von einer internen Protokollkomponente verarbeitet werden, nicht ordnungsgemäß. Ein nicht authentifizierter Angreifer kann einen schädlichen Request senden, der einen Speicherbehandlungsfehler auslöst, wodurch der betroffene Prozess abstürzt. Die erfolgreiche Ausnutzung der Schwachstelle kann daher erhebliche Auswirkungen auf die Verfügbarkeit der betroffenen Anwendung haben. Die Vertraulichkeit oder die Integrität der Anwendung bleiben hiervon unberührt.

Die Links führen in das SAP Support Portal und erfordern einen S-User.


Einordnung

Wenige Notes, aber drei mit über 9,0 CVSS. Die beiden Notes mit CVSS 9,9 sollten diese Woche zuerst bearbeitet werden.


  1. Betroffenheit prüfen: S/4HANA mit der Regelpflege für Substitution und Validierung, NetWeaver Visual Composer, MII, Commerce Cloud und Web Dispatcher gegen den eigenen Systemstand abgleichen.

  2. Kritische Notes vorziehen: 3805589 und 3797111 zuerst einplanen, danach 3798788 und die beiden Notes zwischen 7,0 und 8,9.

  3. Ungenutztes abschalten: Wo Visual Composer oder MII nicht im Einsatz sind, ist das Deaktivieren der schnellste Schutz.

Die Einordnung ist eine fachliche Empfehlung von entplexit und ersetzt keine verbindliche Rechts- oder Sicherheitsberatung. Maßgeblich sind die SAP Security Notes im SAP Support Portal.


Der Jahresverlauf 2026

Monat

Balken

gesamt / kritisch

Januar

■■■■■■■■

8 / 4

Februar

■■■■■■■■■

9 / 2

März

■■■

3 / 2

April

■■

2 / 1

Mai

■■■

3 / 2

Juni

■■■■■■■

7 / 4

Juli

■■■■■■■■■

9 / 4

August

■■■■■■■■■■■■

12 / 4

September

■■■■■■■■■

9 / 4

Oktober

■■■■■

5 / 3

Je Zeichen eine Meldung. Orange steht für kritisch ab CVSS 9,0, grau für erhöht von 7,0 bis 8,9.

Von Januar bis Oktober 2026 hat entplexit 67 Meldungen mit erhöhtem Risiko erfasst, davon 30 im kritischen Bereich ab CVSS 9,0. Stärkster Monat bleibt der August mit zwölf Meldungen. Der Oktober liegt mit fünf Meldungen unter dem Schnitt, drei davon sind aber kritisch.

Datenbasis ist die entplexit-Patchday-Liste, Stand 13. Oktober 2026. Erfasst werden ausschließlich Meldungen ab CVSS 7,0. Eine Note, die SAP in mehreren Monaten veröffentlicht oder neu bewertet, ist in jedem betroffenen Monat als eigene Meldung gezählt.


Häufige Fragen zum SAP Patchday Oktober 2026

Wie viele SAP Security Notes umfasst der SAP Patchday im Oktober 2026?

Der SAP Patchday im Oktober 2026 umfasst fünf sicherheitsrelevante Schwachstellen mit einem CVSS-Wert von 7,0 oder höher. Drei davon liegen bei 9,0 oder darüber, der höchste Wert ist 9,9 in Note 3797111 zu SAP NetWeaver Visual Composer und Note 3805589 zu SAP S/4HANA.

Betroffen sind fünf Produkte: SAP NetWeaver Visual Composer, SAP S/4HANA, SAP Manufacturing Integration and Intelligence, SAP Commerce Cloud und SAP Web Dispatcher.

Note 3805589 beschreibt für die Komponente FI-SL-VSR eine Code Injection in der Verwaltung der Substitutions- und Validierungsregeln mit einem CVSS-Wert von 9,9, geführt unter CVE-2026-89107. Laut SAP könnte ein authentifizierter Angreifer mit bestimmten Geschäftsberechtigungen Eingaben senden, die als ausführbarer ABAP-Code interpretiert werden.

Note 3797111 beschreibt für die Komponente EP-VC-RTM eine fehlerhafte Zugriffskontrolle mit einem CVSS-Wert von 9,9, geführt unter CVE-2026-89110. Je nach Konfiguration der Remote-Verbindung kann ein Angreifer mit geringen Rechten ein vorkonfiguriertes Remote-System vollständig kompromittieren.

Note 3798788 beschreibt für die Komponente MFG-MII eine fehlende Berechtigungsprüfung im Configuration Service mit einem CVSS-Wert von 9,1, geführt unter CVE-2026-89108. Ein Angreifer mit Administratorrechten in SAP MII könnte ein Konto mit erweiterten Rechten auf dem zugrunde liegenden Java-Anwendungsserver anlegen.

Ja. Note 3800517 beschreibt für die Komponente CEC-SCC-PLA-PL eine SQL Injection mit einem CVSS-Wert von 8,8, geführt unter CVE-2026-89113. Ein authentifizierter Benutzer könnte darüber Daten der Anwendungsdatenbank lesen, ändern oder löschen.

Note 3765424 beschreibt für die Komponente BC-CST-IC eine Speicherbeschädigung im Internet Communication Manager mit einem CVSS-Wert von 7,5, geführt unter CVE-2026-58249. Ein nicht authentifizierter Angreifer kann den betroffenen Prozess zum Absturz bringen, Vertraulichkeit und Integrität bleiben laut SAP unberührt.


Quellen und weiterführende Informationen

› SAP Commerce Cloud, sap.com


Unsicher, welche Notes Euch wirklich treffen?

Wir schauen mit Euch auf Eure Systemlandschaft und priorisieren gemeinsam.

Fachgespräch vereinbaren

Carsten Linz, SAP-Experte · support@entplexit.com · +49 6196 9734400

make SAP simple

© entplexit GmbH · SAP Partner


Kommentare

Impressum        Datenschutz  

© Copyright
bottom of page