Der SAP Security Patchday im Juli 2026 brachte am 14. Juli 16 neue Security Notes. Vier Einträge erreichen CVSS 9.0 oder höher. An der Spitze steht eine Memory Corruption in SAP NetWeaver AS ABAP. Darüber kann ein authentifizierter Angreifer Daten lesen oder verändern und damit auch das System außer Betrieb setzen.

Auf der Support-Seite von SAP findet man die Security Patch Day Details für Juli 2026. Drei Einträge sind Updates zu Security Notes aus dem Juni 2026.

Hier ist ein anderer einfacher Weg zu den aktuellen Security Notes vom Patchday:

  1. https://me.sap.com/securitynotes aufrufen (S-User erforderlich)
  2. Optional: den CVSS-Score auf 8 bis 10 einstellen, je nach Schutzbedarf
  3. Spalte „Freigegeben am“ finden und dort alle Einträge seit dem letzten Patchday studieren. Die Filterung auf den aktuellen Monat lässt leider Updates aus, die zwischen den Patchdays veröffentlicht worden sind.

Einer der neun Einträge ab CVSS 8.0 ist die bereits im Juni behandelte Directory-Traversal-Lücke im AS Java Web Container. Ihre Korrektur deckt nun zusätzliche Support-Package-Stände ab.

Einordnung

Ganz oben steht die Memory Corruption im ABAP-Kernel mit CVSS 9.9/10. Dafür reicht ein Konto mit niedrigen Berechtigungen. Betroffen sind Vertraulichkeit, Integrität und Verfügbarkeit. Der temporäre Workaround kostet Funktionalität. Er legt die ICF-Knoten still, über die SAP GUI for HTML läuft. Zwei weitere Fälle brauchen gar keine Anmeldung. Der eine trifft Landschaften, die den SAP Approuter außerhalb von Cloud Foundry betreiben. Der andere trifft Commerce-Cloud-Umgebungen, in denen die öffentlich dokumentierten OAuth2-Beispielzugangsdaten nie ersetzt wurden. Für das DLL Hijacking im SAProuter unter Windows gibt es keinen Workaround. Hier hilft nur der Patch.

RZ10 als Dienstleister: SAP Security

Als spezialisierter Dienstleister für SAP Security unterstützen wir Unternehmen dabei, ihre SAP-Systeme ganzheitlich abzusichern, Risiken zu identifizieren und geeignete Sicherheitsmaßnahmen umzusetzen. Dabei begleiten wir Sie von der strategischen Beratung über die Konzeption bis hin zur technischen Implementierung und dem laufenden Betrieb.
Wie so eine Zusammenarbeit konkret abläuft, zeigt unser Kundenprojekt mit BADER Leather. Hier lesen: Ganzheitliche Security Roadmap für BADER Leather

SAP NetWeaver AS ABAP: Speicherfehler trifft Daten und Betrieb

Der Hinweis 3747367 – [CVE-2026-44747] Memory Corruption vulnerability in SAP NetWeaver Application Server ABAP betrifft SAP NetWeaver AS ABAP und den ABAP-Kernel im Umfeld des Internet Transaction Server. Ein authentifizierter Angreifer mit niedrigen Berechtigungen kann logische Fehler in der Speicherverwaltung ausnutzen und eine Memory Corruption auslösen. Dadurch sind unberechtigte Datenzugriffe, Änderungen und ein Ausfall des Systems möglich.

SAP bewertet die Lücke mit CVSS 9.9/10 (Critical). Als temporärer Workaround lassen sich alle ICF-Knoten mit aktiviertem GUI Interface deaktivieren. Damit steht SAP GUI for HTML auf diesem Application Server nicht mehr zur Verfügung. Dauerhafte Abhilfe schaffen die im Hinweis genannten Korrekturanleitungen, Support Packages und der Kernel-Patch. Details: https://me.sap.com/notes/3747367/E

SAP Approuter: HTTP-Anfragen geraten durcheinander

Der Hinweis 3720138 – [CVE-2026-27690] HTTP Request Smuggling in SAP Approuter betrifft SAP-Approuter-Deployments außerhalb von Cloud Foundry. Ein nicht authentifizierter Angreifer kann eine präparierte HTTP-Anfrage senden. Damit kann er die Zuordnung von Anfragen und Antworten aus dem Takt bringen. So können Antworten anderer Benutzer offengelegt werden. Auch das System kann ausfallen.

SAP bewertet die Lücke mit CVSS 9.1/10 (Critical). Einen separaten Workaround beschreibt SAP nicht. Stattdessen verweist SAP auf das Upgrade auf die im Hinweis genannte korrigierte Version. Diese deaktiviert außerhalb von Cloud Foundry automatisch die Wiederverwendung von Verbindungen. Details: https://me.sap.com/notes/3720138/E

SAP Commerce Cloud: Öffentliche Beispielzugangsdaten öffnen APIs

Der Hinweis 3753495 – [CVE-2026-44761] Insecure Sample Credentials in SAP Commerce Cloud betrifft OAuth2-Clients für die Commerce Web Services. Ein nicht authentifizierter Angreifer kann ein gültiges Access Token beziehen, wenn das dokumentierte Beispielskript in einer Produktivumgebung ausgeführt und das öffentlich bekannte Client-Secret nicht ersetzt wurde. Mit dem Token kann er bestimmte APIs zum Lesen und Ändern von Daten aufrufen. Umgebungen, in denen der Beispiel-Client entfernt oder sein Secret durch einen starken individuellen Wert ersetzt wurde, sind nicht betroffen.

SAP bewertet die Lücke mit CVSS 9.1/10 (Critical). Als Workaround nennt SAP die sofortige Rotation des Client-Secrets auf einen starken, zufällig erzeugten Wert. Zur dauerhaften Bereinigung muss ein vorhandener Beispiel-Client mit dem ursprünglich dokumentierten Secret aus der Produktivumgebung entfernt werden. Details: https://me.sap.com/notes/3753495/E

[Update] SAP NetWeaver AS Java: Directory-Traversal-Korrektur erweitert

Der Hinweis 3727078 – [CVE-2026-40128] Directory Traversal vulnerability in SAP NetWeaver Application Server Java (Web Container) betrifft den Web Container und wurde bereits im Juni-Beitrag behandelt. Ein nicht authentifizierter Angreifer kann über eine präparierte HTTP-Logon-Anfrage die Parameter zur Datei-Einbindung manipulieren. Dadurch kann er sensible Informationen lesen oder verändern. Er kann auch Teile des lokalen Systems lahmlegen.

SAP bewertet die Lücke weiterhin mit CVSS 9.0/10 (Critical). Einen Workaround gibt es nicht. Neu ist ausschließlich die Patch-Versorgung. SAP hat die Korrektur auf ältere Support-Package-Stände ausgeweitet. Für diese gab es bis dahin keine Korrektur. Nach einem Patch im Juni ist deshalb nur zu prüfen, ob der eigene Support-Package-Stand jetzt neu dazugekommen ist. Details: https://me.sap.com/notes/0003727078/E/diff

SAP Integration Suite: Apache Camel bündelt mehrere Angriffswege

Der Hinweis 3758101 – [CVE-2026-40860] Multiple vulnerabilities in Apache Camel within SAP Integration Suite (Edge Integration Cell) betrifft Apache Camel in der Edge Integration Cell. Der Sammelhinweis deckt neben CVE-2026-40860 auch CVE-2026-40453 und CVE-2026-33454 ab. Er behandelt unsichere Deserialisierung sowie mehrere Varianten der Header Injection in Mail- und Messaging-Komponenten. Je nach Angriffsweg ermöglichen präparierte Nachrichten eines Angreifers mit Zugriff auf den Message Broker die Ausführung von Code oder beliebige Dateischreibzugriffe. Auch das Verhalten nachgelagerter Routen lässt sich damit manipulieren.

SAP bewertet die schwerste gebündelte Lücke mit CVSS 8.8/10 (High). Als temporäre Mitigation empfiehlt SAP, den AMQP-Sender-Adapter nicht zu verwenden. Falls er eingesetzt werden muss, sollen Broker und Queue mit strikten Zugriffskontrollen geschützt werden. Dauerhafte Abhilfe schafft die im Hinweis genannte korrigierte Version der Edge Integration Cell. Details: https://me.sap.com/notes/3758101/E

SAProuter unter Windows: Lokale DLL wird zum Einfallstor

Der Hinweis 3692165 – [CVE-2026-0487] DLL Hijacking vulnerability in SAProuter on Microsoft Windows betrifft SAProuter unter Microsoft Windows. Ein nicht authentifizierter Angreifer mit lokalem Zugriff kann bei einem nicht ausreichend schreibgeschützten Installationsverzeichnis eine schädliche DLL einschleusen. SAProuter kann diese Bibliothek laden und dadurch beliebigen Code ausführen. Das beeinträchtigt Vertraulichkeit, Integrität und Verfügbarkeit stark. Dieser Angriffsweg greift laut SAP nicht, wenn SAProuter aus dem Executable-Verzeichnis eines regulär installierten SAP-Systems gestartet wird. Die Installation legt dieses Verzeichnis bereits mit den korrekten Berechtigungen an.

SAP bewertet die Lücke mit CVSS 8.4/10 (High). Einen Workaround gibt es nicht. Abhilfe schaffen die im Hinweis genannten Support Packages und Patches. Der Fix ersetzt ausdrücklich nicht die Konfiguration eines schreibgeschützten SAProuter-Installationsverzeichnisses. Nur autorisierte Benutzer dürfen dieses Verzeichnis verändern. Details: https://me.sap.com/notes/3692165/E

AS Java Configuration Wizard: Präparierte URL liest Sitzungsdaten

Der Hinweis 3748227 – [CVE-2026-44752] Cross-Site Scripting (XSS) vulnerability in SAP NetWeaver Application Server Java (Configuration Wizard) betrifft den Configuration Wizard von SAP NetWeaver AS Java. Ein nicht authentifizierter Angreifer kann schädliches JavaScript in eine präparierte URL einbauen. Ruft ein Opfer diese URL auf, läuft das Skript im Browser. Es kann sensible Sitzungsinformationen lesen. Es kann auch nicht sensible angezeigte Daten verändern.

SAP bewertet die Lücke mit CVSS 8.2/10 (High). Als temporärer Workaround lassen sich die betroffenen Anwendungs-Aliasse deaktivieren. Für erforderliche SAP-Lifecycle-Abläufe können sie vorübergehend wieder aktiviert werden. Dauerhafte Abhilfe schaffen die im Hinweis genannten Support Packages und Patches. Sie kodieren betroffene URL-Parameter korrekt. Details: https://me.sap.com/notes/3748227/E

SAP Approuter: OAuth2-Login führt zum falschen Ziel

Der Hinweis 3741519 – [CVE-2026-44745] Open Redirect vulnerability in SAP Approuter betrifft den OAuth2-Login des SAP Approuter. Die Schwachstelle setzt zunächst einen vorgeschalteten Reverse Proxy oder Load Balancer voraus, der den X-Forwarded-Host-Header weitergibt. Hinzu kommen fehlende oder zu breite Wildcard-Redirect-URIs in XSUAA. Ein nicht authentifizierter Angreifer kann dann einen Link präparieren. Klickt das Opfer darauf, kann das zu unberechtigtem Zugriff führen.

SAP bewertet die Lücke mit CVSS 8.1/10 (High). Als Workaround lassen sich die Redirect-URIs auf die eigenen Anwendungshosts beschränken, statt landschaftsweite Wildcards zu verwenden. Abhilfe schafft die im Hinweis genannte korrigierte Version zusammen mit der dort beschriebenen Konfiguration und Validierung der Redirect-URIs. Details: https://me.sap.com/notes/3741519/E

SAP Commerce Cloud: Drei Tomcat-Lücken im Paket

Der Hinweis 3763800 – [Multiple CVEs] Multiple vulnerabilities in Apache Tomcat within SAP Commerce Cloud betrifft Apache Tomcat in SAP Commerce Cloud. Der Sammelhinweis bündelt CVE-2026-43512, CVE-2026-41293 und CVE-2026-43515. Er behandelt einen Authentication Bypass bei Digest Authentication, eine fehlerhafte Prüfung von HTTP/2-Headern und eine unzureichende Autorisierung bei überlappenden Security Constraints. Je nach Konfiguration kann ein nicht authentifizierter Angreifer Zugriffsbeschränkungen umgehen. Er kann auch unerwartetes Anwendungsverhalten auslösen. Die Out-of-the-box-Webanwendungen von SAP Commerce aktivieren die betroffenen Funktionen nicht. Das gilt auch für die Default-CCv2-Konfiguration. Damit sind beide standardmäßig nicht exponiert.

SAP bewertet die schwerste gebündelte Lücke mit CVSS 8.1/10 (High). Für eigene Webanwendungen oder abweichende Tomcat-Konfigurationen beschreibt SAP funktionsbezogene Zwischenmaßnahmen. Sie betreffen Digest Authentication, HTTP/2 und überlappende Security Constraints. Dauerhafte Abhilfe schaffen die im Hinweis genannten korrigierten Patches und Update-Releases. Details: https://me.sap.com/notes/3763800/E

Das war es schon. Wie immer schaue ich hier nur auf das, was die Schwelle von CVSS-Score 8.0 überschreitet. Diesen Monat sind das neun Einträge. Bitte schaut selbst nach, ob für eure Systemumgebung und euren Schutzbedarf nicht vielleicht doch noch etwas darunter dabei ist.

Demnächst…

12.08.2026 | Webinar: “SAP Cloud ERP: Berechtigungsaufbau & Benutzer verwalten in der Public Cloud”
Die SAP Public Cloud folgt eigenen Regeln, auch bei Rollen und Berechtigungen. Wir geben Ihnen eine klare Struktur an die Hand, wie Sie Benutzer effizient verwalten und Sicherheitsanforderungen richtig abbilden.
Mehr Informationen und Anmeldung

15.09.2026 | Expertenforum in Frankfurt: “SAP S/4HANA und BTP: Berechtigungen, Lizenzen und Security”
S/4HANA, RISE und SAP BTP stellen Unternehmen vor neue Herausforderungen bei Berechtigungen, Lizenzen und Security. Bei diesem Networking Event in Frankfurt erfahren Sie, wie Sie Kostenpotenziale erkennen, Berechtigungskonzepte optimieren und Ihre SAP-Landschaft sicher aufstellen. Freuen Sie sich auf praxisnahe Vorträge, interaktive Masterclasses und den Austausch mit anderen SAP Security- und Berechtigungsverantwortlichen.
Mehr Informationen und Anmeldung


Artikel war hilfreichArtikel empfehlen

Dieser Beitrag ist auch als Download verfügbar: