SAP Kernel RCE Schwachstelle trifft 10.000+ Systeme

Eine SAP Kernel RCE Schwachstelle mit dem Namen OVERPASS (CVE-2026-44756), benannt von Onapsis Research Labs, erlaubt einem unauthentifizierten Angreifer den Zugriff auf gemeinsam genutzten SAP-Kernel-Code, noch bevor eine Sitzung authentifiziert wird — und das gleich über drei getrennte Protokollwege. SAP patchte die mit CVSS 10,0 bewertete Schwachstelle am 8. September 2026 im Rahmen des September-Patch-Days. Onapsis identifizierte mehr als 10.000 eindeutige, im Internet erreichbare IP-Adressen mit einer SAP-Web-Schnittstelle — das ist keine bestätigte Zahl verwundbarer Systeme und erfasst keine interne SAP-GUI- oder RFC-Exposition.

Was ist passiert

Diese SAP Kernel RCE Schwachstelle ist ein Speicherfehler (Memory Corruption) in der Extended-Passport-Verarbeitung (EPP) — jener Tracing-Struktur, die jeder SAP-Client beim Sitzungsaufbau anhängt, ursprünglich für systemübergreifendes Transaktions-Tracing gedacht. Weil EPP verarbeitet wird, bevor die Sitzung authentifiziert ist, wird der verwundbare Code ausgeführt, bevor die Authentifizierung überhaupt die Gelegenheit dazu hat. Ein entfernter, unauthentifizierter Angreifer kann eine präparierte Anfrage mit einem fehlerhaften EPP-Header senden, die den Speicher beschädigt. Laut Onapsis kann eine erfolgreiche Ausnutzung die Ausführung beliebiger Betriebssystembefehle mit SAP-Administrationsrechten ermöglichen.

Der Fehler liegt in gemeinsam genutztem Kernel-Code, nicht in einer einzelnen Anwendung, und ist deshalb über die Web-Ebene (HTTP/S), die klassische SAP-GUI-Ebene und die RFC-Ebene erreichbar — drei getrennte Zugriffswege zur selben verwundbaren Verarbeitung, nicht drei getrennte Schwachstellen. Eine exponierte Schnittstelle zu prüfen schließt die anderen nicht aus. Nach Komponente betroffen sind: KRNL64NUC 7.22 und 7.22EXT; KRNL64UC 7.22, 7.22EXT, 7.53 und 8.04; WEBDISP 9.16, 9.18, 9.19 und 9.20; sowie KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18, 9.19 und 9.20 — nicht jede Version zwischen 7.22 und 9.20, wie eine verkürzte Bereichsangabe nahelegen würde. Maßgeblich bleibt SAP Security Note 3747649. Onapsis meldete zum Stand seines Updates vom 10. September keine beobachtete aktive Ausnutzung. Das BSI hat am 9. September 2026 eine eigene Warnung herausgegeben (Kritikalität 2, Hoch) — einen Tag nach SAPs Veröffentlichung.

Warum das wichtig ist

SAP ist das operative Rückgrat eines Großteils der deutschen Mittelstandsfertigung, -finanzabteilungen und -logistik, und dies ist bereits die dritte SAP-Kernel- oder Anwendungsschwachstelle mit CVSS 9,9 oder höher, die 2026 veröffentlicht wurde (nach CVE-2026-0488 in SAP CRM/S/4HANA, hier im Februar behandelt). Eine Pre-Auth-Schwachstelle, die über drei getrennte Protokollwege erreichbar ist — nicht nur über die internetseitige Web-Ebene, die die meisten Perimeter-Überwachungen im Blick haben —, bedeutet, dass das gängige Absicherungsmodell „wir exponieren nur das Fiori-Launchpad“ die Lücke nicht vollständig schließt; SAP-GUI- und RFC-Zugriffe aus Partnernetzen, VPNs oder falsch segmentierten internen Bereichen erreichen denselben Fehler, und eine Web Application Firewall allein kann dieses Risiko nicht vollständig mindern. Die Veröffentlichung fällt zudem in dieselbe Woche, in der die 24-Stunden-Meldepflicht des EU Cyber Resilience Act für Hersteller in Kraft tritt (11. September 2026) — ein Hinweis darauf, dass Patch-Takt und Meldepflichten inzwischen auf parallelen, verdichteten Uhren laufen.

Was Sie jetzt tun sollten

1. Prüfen Sie Ihre S/4HANA-, ECC-, NetWeaver-, Web-Dispatcher-, BW/4HANA-, Enterprise-Portal-, PI/PO- oder Solution-Manager-Installation gegen die konkret betroffenen Builds — KRNL64NUC 7.22/7.22EXT; KRNL64UC 7.22/7.22EXT/7.53/8.04; WEBDISP 9.16/9.18/9.19/9.20; KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16–9.20 — wie in SAP Security Note 3747649 gelistet, und behandeln Sie das Patchen als Notfall, nicht als Routine-Zyklus. Gehen Sie nicht davon aus, dass jede Installation dieser Produkte automatisch betroffen ist, nur weil sie einen Kernel in dieser groben Nummerierungsspanne nutzt.
2. Inventarisieren Sie jede SAP-GUI- und RFC-erreichbare Schnittstelle, nicht nur die HTTP/S-seitigen — die EPP-Schwachstelle ist über alle drei erreichbar, eine Web Application Firewall allein kann dieses Risiko nicht vollständig mindern.
3. Erhöhen Sie die Überwachung auf Ausnutzungsversuche und untersuchen Sie auffällige Anfragen gegen SAP-Web-Dispatcher und Applikationsserver, insbesondere falls sofortiges Patchen nicht möglich ist.
4. Prüfen Sie, ob Ihre SAP-Landschaft überhaupt internetseitige Komponenten enthält — Onapsis‘ Zahl von über 10.000 im Internet erreichbaren SAP-Web-Schnittstellen (keine bestätigte Zahl verwundbarer Systeme) legt nahe, dass viele Organisationen kein vollständiges Bild davon haben, welche SAP-Schnittstellen von außen erreichbar sind.

DIESEC Einschätzung

Dieses Muster sehen wir regelmäßig in SAP-Umgebungen des Mittelstands: Ein Patch wird auf die offensichtlich internetseitige Fiori- oder Web-Ebene angewendet, während SAP-GUI- und RFC-Zugriffe aus Partnernetzen oder älteren internen Segmenten als „nicht exponiert“ angenommen werden, ohne dies je zu verifizieren. Eine Schwachstelle im gemeinsamen Kernel wie OVERPASS deckt diese Annahmelücke auf die harte Tour auf.

Nicht sicher, ob Ihre SAP-Landschaft diese Lücke hat? Kontaktieren Sie DIESEC für eine schnelle Prüfung der SAP-Schnittstellenexposition und Patch-Verifizierung.

Quellen: Onapsis | BleepingComputer
Veröffentlicht: 2026-09-14 | Kategorie: Tägliche News | ~4 Min. Lesezeit