top of page
Suche

SAP Patchday November 2026: 22 Security Notes, viermal CVSS 10,0

vor 3 Stunden
12 Min. Lesezeit

SAP Security News · 11/2026

SAP Patchday November 2026: 22 Security Notes ab CVSS 7,0, davon 9 kritisch, höchster CVSS-Wert 10,0

22 Schwachstellen mit erhöhtem Risiko, neun davon im kritischen Bereich

Der SAP Patchday im November 2026 umfasst 22 sicherheitsrelevante Schwachstellen mit erhöhtem Risiko, bewertet nach dem Common Vulnerability Scoring System mit einem CVSS-Wert von 7,0 oder höher. Neun davon liegen im kritischen Bereich ab 9,0. Vier erreichen den Höchstwert 10,0: Speicherbeschädigungen im Internet Communication Manager von SAP NetWeaver AS ABAP und im SAP Web Dispatcher, eine fehlerhafte Zugriffskontrolle im SAP Gateway und eine fehlende Authentifizierung im SAML2-Service-Provider von SAP NetWeaver AS ABAP.

Veröffentlicht am 10. November 2026 · Bewertungsmaßstab CVSS · Lesezeit 4 Minuten

22

Notes mit erhöhtem Risiko, CVSS ab 7,0

9

davon kritisch, CVSS ab 9,0

10,0

höchster CVSS-Wert im Monat

16

betroffene SAP-Komponenten


Kritische Meldungen, CVSS ab 9,0

Diese neun Notes gehören zuerst auf den Tisch.

Note 3778530 · CVE-2026-76964 · Komponente BC-CST-IC

SAP-Titel: Speicherbeschädigungsschwachstelle in SAP NetWeaver AS ABAP (Internet Communication Manager)

Symptom: SAP NetWeaver Application Server ABAP validiert bestimmte Netzwerkeingaben, die von einer internen Komponente verarbeitet werden, nicht ausreichend. Ein nicht authentifizierter Angreifer könnte somit speziell gestalteten Netzwerkverkehr erzeugen, um in der betroffenen Funktion eine Speicherbeschädigungsbedingung auszulösen. Die erfolgreiche Ausnutzung der Schwachstelle könnte es dem Angreifer ermöglichen, beliebigen Quelltext auszuführen und das System vollständig zu kompromittieren. Dies hätte erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Systems.

Note 3778556 · CVE-2026-89126 · Komponente BC-CST-WDP

SAP-Titel: Speicherschadenschwachstelle in SAP Web Dispatcher

Symptom: SAP Web Dispatcher validiert bestimmte Netzwerkeingaben, die von einer internen Komponente verarbeitet werden, nicht ausreichend. Ein nicht authentifizierter Angreifer könnte somit speziell gestalteten Netzwerkverkehr senden, um in der betroffenen Funktion einen Speicherschaden auszulösen. Die erfolgreiche Ausnutzung der Schwachstelle könnte es dem Angreifer ermöglichen, beliebigen Quelltext auszuführen und das System vollständig zu kompromittieren. Dies hätte erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Systems.

Note 3798345 · CVE-2026-89103 · Komponente BC-CST-GW

SAP-Titel: Fehlerhafte Zugriffskontrolle in SAP Gateway

Symptom: SAP Gateway aktiviert die standardmäßige Zugriffskontrollliste mit hohen Berechtigungen, wodurch externe Angreifer als interne Anwendungsserver eingestuft werden können. In der Folge könnte ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf das SAP Gateway diese Schwachstelle ausnutzen, um nicht autorisierte Aktionen in der Anwendungsumgebung auszuführen, was sich in hohem Maße auf die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems auswirkt.

Note 3849308 · CVE-2026-120017 · Komponente BC-SEC-LGN-SML

SAP-Titel: Fehlende Authentifizierung in SAP NetWeaver AS ABAP und ABAP-Plattform (SAML2-Service-Provider)

Symptom: SAP NetWeaver AS ABAP und die ABAP-Plattform führen bei bestimmten Konfigurationen keine ausreichende Verifizierung eingehender Authentifizierungs-Assertions durch. Ein nicht authentifizierter Angreifer könnte speziell gestaltete Daten übermitteln, um die Authentifizierung zu umgehen und sich als beliebiger Benutzer auszugeben, einschließlich privilegierter Konten. Die erfolgreiche Ausnutzung dieser Schwachstelle könnte zu einer vollständigen Systemkompromittierung führen, wobei sich die Auswirkungen möglicherweise auch auf verbundene Komponenten und Systeme außerhalb des betroffenen Systems erstrecken könnten. Dies hat schwerwiegende Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.

Note 3792735 · CVE-2026-76965 · Komponente BC-SRV-COM-FTP

SAP-Titel: BS-Command-Injection-Schwachstelle in SAP Application Server for SAP NetWeaver und ABAP-Plattform

Symptom: SAP NetWeaver Application Server ABAP und die ABAP-Plattform führen für bestimmte interne Funktionen nicht die erforderlichen Berechtigungsprüfungen durch. Ein Angreifer mit geringen Berechtigungen könnte die betroffenen Funktionen aufrufen, um beliebige Betriebssystembefehle auf dem zugrunde liegenden Host auszuführen. Die erfolgreiche Ausnutzung dieser Schwachstelle könnte sich über die betroffene Komponente hinaus auf weitere Ressourcen auswirken und somit erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Systems haben.

Note 3809153 · CVE-2026-109803 · Komponente EP-KM-CM

SAP-Titel: Code-Injection-Schwachstelle in SAP NetWeaver Knowledge Management (XML-Formulare)

Symptom: SAP NetWeaver Knowledge Management (XML-Formulare) schränkt die Selektion von XSL-Transformationen, die von den betroffenen Funktionen verarbeitet werden, nicht ausreichend ein. Unter bestimmten Bedingungen kann ein authentifizierter Benutzer mit Zugriff auf die betroffenen Funktionen die Verarbeitung einer nicht autorisierten XSL-Transformation auslösen. Dies kann zur Ausführung von beliebigem Code im Anwendungskontext führen. Die erfolgreiche Ausnutzung dieser Schwachstelle könnte Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung haben.

Note 3834842 · CVE-2026-109795 · Komponente CRM-BF-SVY

SAP-Titel: Fehlende Berechtigungsprüfung in S4CRM

Symptom: SAP NetWeaver führt nicht die erforderlichen Berechtigungsprüfungen durch und hat keine ausreichende Eingabevalidierung in bestimmten remote-fähigen Funktionen. Ein Angreifer mit geringen Berechtigungen könnte speziell gestaltete Eingaben über eine Remote-Schnittstelle senden, um beliebigen Code in das betroffene System einzuschleusen und dort auszuführen. Die erfolgreiche Ausnutzung dieser Schwachstelle könnte den Zugriffsbereich des Angreifers über die anfällige Komponente hinaus erweitern, mit erheblichen Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit.

Note 3804858 · CVE-2026-89119 · Komponente BC-CST-WDP

SAP-Titel: Cross-Site-Request-Forgery-Schwachstelle (CSRF) in SAP Web Dispatcher und Internet Communication Manager

Symptom: Dieser Sicherheitshinweis behandelt mehrere Schwachstellen, die im SAP Web Dispatcher und Internet Communication Manager identifiziert wurden. Nachstehend finden Sie die Details zu den Schwachstellen sowie die CVE-relevanten Informationen.

Note 3799117 · CVE-2026-109798 · Komponente BI-BIP-SL

SAP-Titel: XML External Entity (XXE) Vulnerability in SAP BusinessObjects Business Intelligence Platform (Web Intelligence)

Symptom: SAP BusinessObjects Business Intelligence (Web Intelligence) schränkt die Auflösung externer Entitäten bei der Verarbeitung von OLAP-Verbindungsanforderungen nicht ordnungsgemäß ein. Ein authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um auf eingeschränkte Ressourcen zuzugreifen, sodass er sensible Dateien auf dem Server lesen und interne Systeme erreichen kann, die nicht anderweitig exponiert werden, was sich auf Ressourcen über die anfällige Komponente hinaus auswirkt, was sich in hohem Maße auf die Vertraulichkeit und geringe Auswirkungen auf die Integrität und Verfügbarkeit auswirkt.


Weitere Meldungen mit erhöhtem Risiko

CVSS 7,0 bis 8,9, nach Bewertung absteigend sortiert.

Note 3769130 · CVE-2026-76966 · Komponente BC-MID-RFC

SAP-Titel: Mehrere Schwachstellen in Application Server ABAP von SAP NetWeaver und ABAP-Plattform

Symptom: Dieser Sicherheitshinweis behandelt mehrere Schwachstellen im Application Server ABAP von SAP NetWeaver und der ABAP-Plattform. Nachstehend finden Sie die Details zu den Schwachstellen sowie die relevanten CVE- und CVSS-Informationen:

Note 3809953 · CVE-2026-120008 · Komponente BC-FES-IGS

SAP-Titel: Speicherschadenschwachstelle in SAP NetWeaver (Internet Graphics Service)

Symptom: SAP NetWeaver (Internet Graphics Service) validiert bestimmte Eingabewerte in eingehenden Requests nicht ausreichend. Ein nicht authentifizierter Benutzer könnte eine speziell gestaltete Anforderung senden, um einen Out-of-Bounds-Schreibzugriff in einem Worker-Prozess auszulösen. Die erfolgreiche Ausnutzung der Schwachstelle kann zu einem Speicherschaden oder einem wiederholten Abbruch des betroffenen Prozesses führen. Dies kann zu erheblichen Auswirkungen auf die Verfügbarkeit und geringen Auswirkungen auf die Integrität führen, während die Vertraulichkeit unbeeinträchtigt bleibt.

Note 3803832 · CVE-2026-109800 · Komponente BC-CST-WDP

SAP-Titel: Speicherschadenschwachstelle in SAP Web Dispatcher

Symptom: SAP Web Dispatcher validiert bestimmte Eingaben während der Verarbeitung nicht ausreichend, was zu einem Speicherschaden führen kann. Ein Angreifer, der als nicht administrativer Benutzer authentifiziert ist, könnte diese Schwachstelle ausnutzen, indem er speziell gestaltete Eingaben übermittelt, was dazu führt, dass der Web-Dispatcher-Prozess ohne Benutzerinteraktion beendet wird. Infolgedessen sind der Web Dispatcher und alle über ihn erreichbaren Backend-Systeme nicht mehr verfügbar, was erhebliche Auswirkungen auf die Verfügbarkeit hat. Die Vertraulichkeit und die Integrität der Anwendung bleiben hiervon unberührt.

Note 3789273 · CVE-2026-76973 · Komponente BC-CST-MS

SAP-Titel: Speicherschadenschwachstelle in Application Server ABAP von SAP NetWeaver und ABAP-Plattform (SAP Message Server)

Symptom: Aufgrund einer Speicherschadenschwachstelle in SAP Application Server ABAP von SAP NetWeaver und ABAP-Plattform könnte ein nicht authentifizierter Angreifer speziell gestaltete Netzwerk-Requests an den betroffenen Service senden. Durch das Auslösen der Schwachstelle kann der Angreifer den Server zum Absturz bringen und aktive Verbindungen unterbrechen, was zu einer Denial-of-Service-Situation führt. Die erfolgreiche Ausnutzung der Schwachstelle könnte erhebliche Auswirkungen auf die Verfügbarkeit haben, während Vertraulichkeit und Integrität unbeeinträchtigt bleiben.

Note 3792915 · CVE-2026-76970 · Komponente BC-ABA-SC

SAP-Titel: Speicherschadenschwachstelle in Application Server ABAP für SAP NetWeaver und ABAP-Plattform

Symptom: Aufgrund einer Speicherschadenschwachstelle in Application Server ABAP für SAP NetWeaver und ABAP-Plattform könnte ein nicht authentifizierter Angreifer speziell gestaltete Requests an die Anwendung senden. Bei der Verarbeitung durch die Anwendung können diese Requests einen Speicherschaden in der Parsing-Routine auslösen, wodurch die betroffenen Prozesse unter Umständen abstürzen und neu starten. Durch das wiederholte Senden solcher Requests kann der Angreifer einen anhaltenden Denial-of-Service auslösen, was erhebliche Auswirkungen auf die Verfügbarkeit hat. Vertraulichkeit und Integrität bleiben davon unbeeinträchtigt.

Note 3805570 · CVE-2026-120010 · Komponente BC-CST-MS

SAP-Titel: Speicherschadenschwachstelle in SAP NetWeaver Application Server (Message Server)

Symptom: Der SAP NetWeaver Application Server (Message Server) legt die Größe von Speicherallokationen bei der Verarbeitung bestimmter HTTP-Requests nicht korrekt fest. Ein nicht authentifizierter Angreifer kann einen speziell gestalteten Request senden, der einen Heap-Pufferüberlauf in betroffenen Funktionen auslöst. Die erfolgreiche Ausnutzung der Schwachstelle führt dazu, dass die Komponente abbricht und nicht verfügbar bleibt, bis sie vom Framework neu gestartet wird. Dies hat erhebliche Auswirkungen auf die Verfügbarkeit des Systems. Die Vertraulichkeit und die Integrität der Anwendung bleiben hiervon unberührt.

Note 3805681 · CVE-2026-109794 · Komponente BC-CST-IC

SAP-Titel: Denial of Service vulnerability in SAP NetWeaver Application Server ABAP, ABAP Platform and SAP Web Dispatcher

Symptom: SAP NetWeaver Application Server ABAP, ABAP-Plattform und SAP Web Dispatcher behandeln den Ressourcenverbrauch bei der Verarbeitung bestimmter Requests nicht ausreichend. Ein nicht authentifizierter Angreifer kann speziell gestaltete Anfragen an die betroffene Komponente senden, was zu einer übermäßigen Ressourcenauslastung und Serviceunterbrechung führt. Dies hat große Auswirkungen auf die Verfügbarkeit. Es gibt keine Auswirkungen auf Vertraulichkeit und Integrität.

Note 3808552 · CVE-2026-109804 · Komponente BC-CST-MS

SAP-Titel: Information Disclosure in SAP NetWeaver (SAP Message Server)

Symptom: Der SAP Message Server verarbeitet bestimmte fehlerhafte Anforderungen, die von einem nicht authentifizierten Angreifer zum Senden speziell gestalteter Eingaben genutzt werden können, nicht ordnungsgemäß. Eine erfolgreiche Ausnutzung könnte es dem Angreifer ermöglichen, sensible Informationen abzurufen, was sich stark auf die Vertraulichkeit auswirkt. Es gibt keine Auswirkungen auf die Integrität und Verfügbarkeit.

Note 3808627 · CVE-2026-109793 · Komponente BC-CST-DP

SAP-Titel: Denial-of-Service-Schwachstelle (DoS-Schwachstelle) in SAP NetWeaver Application Server ABAP (Internet Communication Manager) und SAP Web Dispatcher

Symptom: SAP NetWeaver Application Server ABAP und SAP Web Dispatcher validieren bestimmte Header-Werte, die während der Verarbeitung eingehender Requests verarbeitet werden, nicht ausreichend. Ein nicht authentifizierter Angreifer kann einen speziell gestalteten Request senden, der zur Folge hat, dass der betroffene Prozess nicht mehr verfügbar ist. Dies wirkt sich in hohem Maße auf die Verfügbarkeit aus. Vertraulichkeit und Integrität werden nicht beeinträchtigt.

Note 3809934 · mehrere CVEs, siehe Note · Komponente BC-FES-IGS

SAP-Titel: Mehrere Schwachstellen in SAP NetWeaver (Internet Graphics Service)

Symptom: Der vorliegende Sicherheitshinweis behandelt mehrere Schwachstellen, die in SAP NetWeaver (Internet Graphics Service) identifiziert wurden. Nachstehend finden Sie die Details zu den Schwachstellen sowie die CVE-relevanten Informationen. (CVE-2026-109806 und CVE-2026-109807)

Note 3810485 · CVE-2026-89114 · Komponente BC-DWB-JAV-J2E

SAP-Titel: Fehlende Authentifizierungsprüfung in EDM-Anwendung von SAP NetWeaver Application Server Java

Symptom: Die EDM-Anwendung von SAP NetWeaver Application Server Java führt für bestimmte Web-Service-Requests keine Authentifizierungsprüfung durch. Ein nicht authentifizierter Angreifer könnte einen speziell gestalteten Request senden, um sensible Geschäftsdaten zu erlangen. Dies hat erhebliche Auswirkungen auf die Vertraulichkeit. Es gibt keine Auswirkungen auf die Integrität und Verfügbarkeit.

Note 3842766 · CVE-2026-120015 · Komponente BC-CCM-HAG

SAP-Titel: Unzureichende Eingabevalidierung im SAP Host-Agent

Symptom: Der SAP Host-Agent validiert bestimmte Eingaben nicht ausreichend. Unter bestimmten Umständen könnte ein Angreifer mit geringen Berechtigungen die betroffene Funktionalität missbrauchen, um eine interne Komponente dazu zu bringen, eine schädliche Datei unter einem Konto mit erweiterten Berechtigungen zu laden. Die erfolgreiche Ausnutzung der Schwachstelle könnte in einer persistenten Codeausführung resultieren. Dies hätte erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit.

Note 3833364 · CVE-2026-120009 · Komponente BC-DWB-AIE-DP

SAP-Titel: Code-Injection-Schwachstelle in ABAP Development Tools (AMDP-Datenvorschau)

Symptom: Die ABAP Development Tools (AMDP-Datenvorschau) führen innerhalb bestimmter betroffener Funktionen keine ausreichenden Validierungs- und Berechtigungsprüfungen durch. Ein Angreifer mit hohen Berechtigungen könnte speziell gestaltete Eingaben senden, um beliebigen Code auf das System einzuschleusen und dort auszuführen. Die erfolgreiche Ausnutzung der Schwachstelle könnte es dem Angreifer ermöglichen, das System vollständig zu kompromittieren. Dies hätte erhebliche Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit.

Die Links führen in das SAP Support Portal und erfordern einen S-User.


Einordnung

Viermal CVSS 10,0, alle vier laut SAP ohne Anmeldung ausnutzbar. Fast alles trifft die Basis: ICM, Web Dispatcher, Gateway und Message Server. Diese Woche gehört Ihrem Basisteam.


  1. Die vier Höchstwerte zuerst: 3778530 (ICM), 3778556 (Web Dispatcher), 3798345 (Gateway) und 3849308 (SAML2) vorziehen, vor allem auf Systemen, die aus dem Netz erreichbar sind.

  2. Basiskorrekturen gemeinsam planen: Zwölf Notes betreffen ICM, Web Dispatcher, Gateway, Message Server und den Internet Graphics Service, dazu kommt der Kernel-Fix für SAPFTP aus 3792735 (9,9). Diese Korrekturen gemeinsam einplanen und testen statt einzeln, bis dahin die Berechtigungen S_RFC für die Funktionsgruppe SFTP und S_C_FUNCT für SAPLSFTP auf die Rollen beschränken, die sie wirklich brauchen.

  3. Anwendungen danach abgleichen: Knowledge Management, S4CRM, BusinessObjects, AS Java, Host Agent und ABAP Development Tools gegen den eigenen Systemstand prüfen, ungenutzte Dienste wie XML-Formulare oder IGS wo möglich abschalten.

Die Einordnung ist eine fachliche Empfehlung von entplexit und ersetzt keine verbindliche Rechts- oder Sicherheitsberatung. Maßgeblich sind die SAP Security Notes im SAP Support Portal.


Der Jahresverlauf 2026

Monat

Balken

gesamt / kritisch

Januar

■■■■■■■■

8 / 4

Februar

■■■■■■■■■

9 / 2

März

■■■

3 / 2

April

■■

2 / 1

Mai

■■■

3 / 2

Juni

■■■■■■■

7 / 4

Juli

■■■■■■■■■

9 / 4

August

■■■■■■■■■■■■

12 / 4

September

■■■■■■■■■

9 / 4

Oktober

■■■■■

5 / 3

November

■■■■■■■■■■■■■■■■■■■■■■

22 / 9

Je Zeichen eine Meldung. Orange steht für kritisch ab CVSS 9,0, grau für erhöht von 7,0 bis 8,9.

Von Januar bis November 2026 hat entplexit 89 Meldungen mit erhöhtem Risiko erfasst, davon 39 im kritischen Bereich ab CVSS 9,0. Der November ist mit 22 Meldungen der mit Abstand stärkste Monat des Jahres, bisher lag der August mit zwölf vorn. Er liegt fast beim Dreifachen des Monatsschnitts von gut acht Meldungen, und auch die neun kritischen Meldungen sind ein Jahreshöchstwert.

Datenbasis ist die entplexit-Patchday-Liste, Stand 10. November 2026. Erfasst werden ausschließlich Meldungen ab CVSS 7,0. Eine Note, die SAP in mehreren Monaten veröffentlicht oder neu bewertet, ist in jedem betroffenen Monat als eigene Meldung gezählt.


Häufige Fragen zum SAP Patchday November 2026

Wie viele SAP Security Notes umfasst der SAP Patchday im November 2026?

Der SAP Patchday im November 2026 umfasst 22 sicherheitsrelevante Schwachstellen mit einem CVSS-Wert von 7,0 oder höher. Neun davon liegen bei 9,0 oder darüber, den Höchstwert 10,0 erreichen vier Notes: 3778530, 3778556, 3798345 und 3849308.

Betroffen sind SAP NetWeaver AS ABAP und die ABAP-Plattform mit Internet Communication Manager, Message Server und Gateway, der SAP Web Dispatcher, SAP NetWeaver AS Java, SAP NetWeaver Knowledge Management, S4CRM, die SAP BusinessObjects Business Intelligence Platform, der SAP Internet Graphics Service, der SAP Host Agent und die ABAP Development Tools.

Note 3778530 beschreibt für die Komponente BC-CST-IC eine Speicherbeschädigung im Internet Communication Manager von SAP NetWeaver AS ABAP, geführt unter CVE-2026-76964. Note 3778556 beschreibt für BC-CST-WDP eine Speicherbeschädigung im SAP Web Dispatcher, geführt unter CVE-2026-89126. Beide sind mit 10,0 bewertet, laut SAP könnte ein nicht authentifizierter Angreifer über speziell gestalteten Netzwerkverkehr beliebigen Code ausführen und das System vollständig kompromittieren.

Note 3798345 beschreibt für die Komponente BC-CST-GW eine fehlerhafte Zugriffskontrolle im SAP Gateway mit CVSS 10,0, geführt unter CVE-2026-89103: Die standardmäßige Zugriffskontrollliste ist mit hohen Berechtigungen aktiv, sodass externe Angreifer als interne Anwendungsserver gelten können. Note 3849308 beschreibt für BC-SEC-LGN-SML eine fehlende Authentifizierung im SAML2-Service-Provider von SAP NetWeaver AS ABAP mit CVSS 10,0, geführt unter CVE-2026-120017: Ein nicht authentifizierter Angreifer könnte sich als beliebiger Benutzer ausgeben, auch als privilegiertes Konto.

Note 3792735 beschreibt für die Komponente BC-SRV-COM-FTP eine BS-Command-Injection im SAP Application Server for SAP NetWeaver und der ABAP-Plattform, geführt unter CVE-2026-76965: Ein Angreifer mit geringen Berechtigungen könnte über fehlende Berechtigungsprüfungen beliebige Betriebssystembefehle auf dem Host ausführen, die Korrektur kommt mit dem Kernel. Note 3809153 beschreibt für EP-KM-CM eine Code Injection in den XML-Formularen von SAP NetWeaver Knowledge Management, geführt unter CVE-2026-109803: Ein authentifizierter Benutzer kann die Verarbeitung einer nicht autorisierten XSL-Transformation auslösen und so beliebigen Code ausführen. Note 3834842 beschreibt für CRM-BF-SVY eine fehlende Berechtigungsprüfung in S4CRM, geführt unter CVE-2026-109795: Ein Angreifer mit geringen Berechtigungen könnte über eine Remote-Schnittstelle Code einschleusen und ausführen.

Note 3804858 beschreibt für die Komponente BC-CST-WDP eine Cross-Site Request Forgery im SAP Web Dispatcher und Internet Communication Manager mit CVSS 9,6, geführt unter CVE-2026-89119, die Note behandelt mehrere Schwachstellen. Note 3799117 beschreibt für BI-BIP-SL eine XML External Entity (XXE) in Web Intelligence der SAP BusinessObjects Business Intelligence Platform mit CVSS 9,1, geführt unter CVE-2026-109798: Ein authentifizierter Angreifer kann sensible Dateien auf dem Server lesen und interne Systeme erreichen.

Note 3803832 beschreibt für die Komponente BC-CST-WDP mit CVSS 7,7 eine Speicherbeschädigung im SAP Web Dispatcher, geführt unter CVE-2026-109800, die den Prozess beendet. Mit CVSS 7,5 folgen die Notes 3789273 (CVE-2026-76973) und 3805570 (CVE-2026-120010) zu Speicherbeschädigungen im Message Server, Komponente BC-CST-MS, die einen Denial of Service auslösen können, Note 3808552 (BC-CST-MS, CVE-2026-109804) zur Offenlegung sensibler Informationen im Message Server sowie die Notes 3805681 (BC-CST-IC, CVE-2026-109794) und 3808627 (BC-CST-DP, CVE-2026-109793) zu Denial of Service in Application Server ABAP und SAP Web Dispatcher. Die fünf Notes mit 7,5 lassen sich laut SAP ohne Anmeldung ausnutzen.

Note 3769130 behandelt für die Komponente BC-MID-RFC mehrere Schwachstellen im Application Server ABAP von SAP NetWeaver und der ABAP-Plattform mit CVSS 8,9, geführt unter CVE-2026-76966. Note 3792915 beschreibt für BC-ABA-SC eine Speicherbeschädigung in der Parsing-Routine mit CVSS 7,5, geführt unter CVE-2026-76970, die ohne Anmeldung einen anhaltenden Denial of Service auslösen kann. Note 3833364 beschreibt für BC-DWB-AIE-DP eine Code Injection in der AMDP-Datenvorschau der ABAP Development Tools mit CVSS 7,2, geführt unter CVE-2026-120009: Ein Angreifer mit hohen Berechtigungen könnte beliebigen Code ausführen.

Note 3809953 beschreibt für die Komponente BC-FES-IGS eine Speicherbeschädigung im SAP NetWeaver Internet Graphics Service mit CVSS 8,2, geführt unter CVE-2026-120008. Note 3809934 behandelt mit CVSS 7,5 mehrere Schwachstellen im Internet Graphics Service, geführt unter CVE-2026-109806 und CVE-2026-109807. Note 3810485 beschreibt für BC-DWB-JAV-J2E eine fehlende Authentifizierungsprüfung in der EDM-Anwendung von SAP NetWeaver AS Java mit CVSS 7,5, geführt unter CVE-2026-89114. Note 3842766 beschreibt für BC-CCM-HAG eine unzureichende Eingabevalidierung im SAP Host Agent mit CVSS 7,5, geführt unter CVE-2026-120015, die zu persistenter Codeausführung führen kann.



Unsicher, welche Notes Sie wirklich treffen?

Wir schauen mit Ihnen auf Ihre Systemlandschaft und priorisieren gemeinsam.

Fachgespräch vereinbaren

Carsten Linz, SAP-Experte · support@entplexit.com · +49 6196 9734400

make SAP simple

© entplexit GmbH · SAP Partner


Kommentare

Impressum        Datenschutz  

© Copyright
bottom of page