Kundenportal
Kundenportal

Security Alert · Schwachstelle

SAP-Patchday November: vier Sicherheitshinweise mit Höchstwertung CVSS 10,0

Risiko mittelVeröffentlicht Aktualisiert
Risikostufe
Mittel
Kategorie
Schwachstelle
Betroffene Systeme
Unternehmen mit SAP NetWeaver AS ABAP bzw. ABAP Platform, SAP Web Dispatcher oder SAP Gateway in den von SAP genannten Versionen
weitere in den November-Hinweisen genannte SAP-Komponenten
Abhilfe verfügbar
Die SAP-Hinweise 3778530, 3778556, 3798345 und 3849308 vorrangig einspielen lassen und den SAP-Dienstleister gezielt danach fragen
Quelle
SAP Security Patch Day – November 2026, CERT-Bund

Was ist passiert?

SAP hat am 10.11.2026 den monatlichen Security Patch Day veröffentlicht: 35 neue Sicherheitshinweise, vier GitHub-Advisories und drei Aktualisierungen älterer Hinweise. Vier der neuen Hinweise haben die Höchstwertung CVSS 10,0 und die Priorität „Critical“:

- Hinweis 3778530 (CVE-2026-76964): Speicherfehler im Internet Communication Manager von SAP NetWeaver AS ABAP. - Hinweis 3778556 (CVE-2026-89126): Speicherfehler im SAP Web Dispatcher. - Hinweis 3798345 (CVE-2026-89103): mangelnde Zugriffskontrolle in SAP Gateway. - Hinweis 3849308 (CVE-2026-120017): fehlende Authentisierung im SAML2-Dienst von SAP NetWeaver AS ABAP und der ABAP Platform.

CERT-Bund hat den Patchday unter der Nummer WID-SEC-2026-4420 zusammengefasst und als hoch eingestuft. Ein Angreifer kann danach mehrere Schwachstellen ausnutzen, um Daten zu verändern, Dienste zu stören, Informationen auszulesen, Skripte einzuschleusen, Schutzmaßnahmen zu umgehen oder Programmcode auszuführen. SAP empfiehlt, die Patches vorrangig einzuspielen. Diese vier CVEs sind in der CISA-Liste aktiv ausgenutzter Schwachstellen (KEV, Version 2026.11.10) nicht enthalten; eine offizielle Meldung zu aktiver Ausnutzung wurde bei der Prüfung nicht gefunden. Das ist kein Beleg dafür, dass die Lücken nicht ausgenutzt werden.

Wer ist betroffen?

Unternehmen mit SAP NetWeaver AS ABAP bzw. ABAP Platform, SAP Web Dispatcher oder SAP Gateway in den von SAP genannten Kernel- und Basisversionen. Am Patchday wurden außerdem Hinweise zu weiteren SAP-Komponenten veröffentlicht. Wer SAP durch ein Systemhaus betreuen lässt, sollte dort gezielt nach den genannten Hinweisnummern fragen.

Wie hoch ist das Risiko?

Mittel (redaktionelle Einschätzung). Der Hersteller bewertet die vier Hinweise mit der Höchstwertung CVSS 10,0, CERT-Bund stuft den Patchday als hoch ein. Wir stufen das Risiko mittel ein, weil zum Prüfungsstand 10.11.2026 keine offizielle Meldung zu aktiver Ausnutzung vorlag; fehlende Meldungen schließen eine Ausnutzung aber nicht aus. Besonders gefährdet sind Systeme, deren Webdienste oder Web Dispatcher unnötig aus dem Internet erreichbar sind.

So schützen Sie sich

  1. Die SAP-Hinweise 3778530 (CVE-2026-76964), 3778556 (CVE-2026-89126), 3798345 (CVE-2026-89103) und 3849308 (CVE-2026-120017) vorrangig einspielen lassen bzw. den SAP-Dienstleister gezielt danach fragen.
  2. SAP-Systeme und den Web Dispatcher nur so weit wie nötig aus dem Internet erreichbar machen.

Quellen

Mehr zum Thema

Akuter Verdacht oder Fragen zu Ihren Systemen?

Bestandskunden und technische Fälle: Unser Support prüft mit Ihnen.

[email protected]Zum Kundenportal

Absicherung neu planen? [email protected]

Stand: 11.11.2026

© 2026 BDT Group GmbH · blured.de