# Viermal CVSS 10.0 in Kernel, Gateway und SAML2 | SAP Security Patchday November 2026

Quelle: https://rz10.de/sap-security/sap-security-patchday-november-2026/
Stand: 2026-11-10

Am 10.11.2026 hat SAP im Rahmen des Security Patchday neue Security Notes und GitHub Security Advisories veröffentlicht. Neun Schwachstellen haben einen CVSS-Score über 9.0, vier davon erreichen den Höchstwert 10.0 und sind ohne Anmeldung ausnutzbar. Alle vier betreffen Kernel-nahe Komponenten oder die SAML2-Anmeldung im AS ABAP. Dazu kommen zwei Hinweise mit CVSS 8.0 oder höher.

Auf [der Support-Seite von SAP](https://support.sap.com/en/my-support/knowledge-base/security-notes-news.html) findet man die [Security Patch Day Details für November 2026](https://support.sap.com/en/my-support/knowledge-base/security-notes-news/november-2026.html?isu_page=1).

Hier ist ein anderer einfacher Weg zu den aktuellen Security Notes vom Patchday:

1. [https://me.sap.com/securitynotes](https://me.sap.com/securitynotes) aufrufen (S-User erforderlich)
2. Optional: den CVSS-Score auf 8 bis 10 einstellen, je nach Schutzbedarf
3. Spalte „Freigegeben am“ finden und dort alle Einträge seit dem letzten Patchday studieren. Die Filterung auf den aktuellen Monat lässt leider Updates aus, die zwischen den Patchdays veröffentlicht worden sind.

[![](https://rz10.de/files/2026/10/Screenshot-2026-11-02-101538-300x162.png)](https://rz10.de/files/2026/10/Screenshot-2026-11-02-101538.png)

## Hot News (CVSS über 9.0)

### Kritisch ohne Anmeldung (CVSS 10.0)

#### AS ABAP: Memory Corruption im Internet Communication Manager (CVE-2026-76964, CVSS 10.0)

Der ICM validiert bestimmte Netzwerkeingaben nicht ausreichend. Ein Angreifer ohne Anmeldung kann eine Memory Corruption auslösen, die zu beliebiger Codeausführung führen kann.

- Betroffen: KRNL64UC 7.53, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20
- Note: 3778530
- Maßnahme: Kernel-Patch laut Note einspielen.
- Priorität: Systeme, deren ICM aus dem Internet oder aus unsicheren Netzen erreichbar ist, zuerst.

Details hier: [https://cve.report/CVE-2026-76964](https://cve.report/CVE-2026-76964)

#### SAP Web Dispatcher: Memory Corruption (CVE-2026-89126, CVSS 10.0)

Gleiche Angriffsklasse wie im ICM: Ein Angreifer ohne Anmeldung kann über präparierte Netzwerkeingaben eine Memory Corruption (Heap-Buffer-Overflow) auslösen und Code ausführen.

- Betroffen: WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16, KERNEL 7.53, 9.18, 9.20, KRNL64UC 7.53, HDB 2.00, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1 (vollständige Liste in der Note)
- Note: 3778556
- Maßnahme: Patch laut Note. Web Dispatcher stehen häufig in der DMZ, daher hohe Priorität.

Details hier: [https://cve.report/CVE-2026-89126](https://cve.report/CVE-2026-89126)

#### SAP Gateway: Fehlerhafte Zugriffskontrolle (CVE-2026-89103, CVSS 10.0)

Das SAP Gateway aktiviert eine Default-Access-Control-List mit hohen Berechtigungen. Ein Angreifer mit Netzwerkzugang und ohne Anmeldung kann dadurch nicht autorisierte Aktionen ausführen.

- Betroffen: KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20, 9.21 sowie die zugehörigen KRNL64-Releases
- Note: 3798345
- Maßnahme: Korrektur aus der Note einspielen. Ergänzend sollte der Netzwerkzugriff auf die Gateway-Ports auf die benötigten Systeme beschränkt sein.

Details hier: [https://www.cve.report/CVE-2026-89103](https://www.cve.report/CVE-2026-89103)

#### AS ABAP: SAML2 Service Provider ohne ausreichende Prüfung (CVE-2026-120017, CVSS 10.0)

Bei bestimmten Konfigurationen werden eingehende Authentifizierungs-Assertions nicht ausreichend geprüft. Ein Angreifer ohne Anmeldung kann sich als beliebiger Benutzer ausgeben, auch als privilegierter.

- Betroffen: SAP_BASIS 702, 731, 740, 750 bis 758, 816, 920, 921, 922
- Note: 3849308
- Maßnahme: Support Package bzw. Korrektur laut Note. Ergänzend: prüfen, ob SAML2 auf Ihren ABAP-Systemen überhaupt konfiguriert ist.
- Priorität: relevant für alle, die SAML2-Single-Sign-On im AS ABAP nutzen. Im Juni hatten wir bereits eine SAML-Lücke im AS ABAP, die Konfiguration lohnt also einen genauen Blick.

Details hier: [https://www.cve.report/CVE-2026-120017](https://cve.report/CVE-2026-120017)

### Kritisch mit niedrigen oder administrativen Voraussetzungen (CVSS 9.1 bis 9.9)

- **Knowledge Management (XML Forms), Code Injection (CVE-2026-109803, CVSS 9.9):** Ein angemeldeter Benutzer kann eine nicht erlaubte XSL-Transformation ausführen und Code im Kontext der Anwendung ausführen. Betroffen: KMC-CM 7.50. Note 3809153.
- **S4CRM, fehlende Berechtigungsprüfung und Code Injection über Remote-Schnittstelle (CVE-2026-109795, CVSS 9.9):** Ein Angreifer mit niedrigen Rechten kann präparierte Eingaben senden und Code ausführen. Betroffen: S4CRM 204 bis 206, S4CEXT 107 bis 109, BBPCRM 713 und 714. Note 3834842.
- **AS ABAP, OS Command Injection (CVE-2026-76965, CVSS 9.9):** Ein Angreifer mit niedrigen Rechten kann Betriebssystembefehle auf dem Host ausführen. Betroffen: KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 9.16 sowie KRNL64NUC und KRNL64UC. Note 3792735.
- **Web Dispatcher und ICM, CSRF (CVE-2026-89119, CVSS 9.6):** Ein Angreifer kann einen angemeldeten Administrator auf einen präparierten Link locken, was bis zur Kompromittierung des Betriebssystems führen kann (User Interaction erforderlich). Betroffen: WEBDISP 7.93, 9.16, KERNEL 7.93, 9.16, 9.20, 9.21, XS_ADVANCED_RUNTIME 1.00. Note 3804858.
- **BusinessObjects Web Intelligence, XXE (CVE-2026-109798, CVSS 9.1):** Ein angemeldeter Angreifer kann über OLAP-Verbindungsanfragen Dateien vom Server lesen und interne Systeme erreichen. Betroffen: ENTERPRISE 430, 2025, 2027. Note 3799117.

## Weitere Hinweise mit CVSS 8.0 oder höher

- **AS ABAP, mehrere Schwachstellen (CVE-2026-76966, CVE-2026-109796, CVSS 8.9):** Update zu Note 3769130, betroffen sind zahlreiche Kernel-Releases (7.22 bis 9.20).
- **Internet Graphics Service (IGS), Memory Corruption (CVE-2026-120008, CVSS 8.2):** Note 3809953, betroffen: BC-FES-IGS 7.20EXT, 7.20_EX2, 7.53, 7.54, 7.81, 9.16.

## Weitere relevante Hinweise (Kernel, Web Dispatcher, Cloud SDK)

Unter CVSS 8.0, aber wegen der Häufung im Kernel erwähnenswert (je CVSS 7.1 bis 7.7):

- Web Dispatcher: Memory Corruption (3803832), Denial of Service (3808627, 3805681)
- Message Server: Memory Corruption (3805570, 3789273), Information Disclosure (3808552)
- ABAP Application Server: Memory Corruption (3792915)
- Host Agent: unzureichende Eingabevalidierung (3842766)
- ABAP Developer Tools (AMDP Data Preview): Code Injection (3833364)
- SAP Cloud SDK for Python: Path Traversal im Agent Memory Module (vor 0.50.0) und fehlerhafte JWT-Signaturprüfung im IASContextProvider (vor 0.63.1), jeweils als GitHub Advisory. Wer das SDK aus dem Oktober-Patchday bereits aktualisiert hat, sollte die Version erneut prüfen.

## Updates zu bestehenden Notes

- **3769130** (ABAP Application Server, siehe oben)
- **3671819** (Oktober 2026), XSS in SAP GUI for HTML, CVSS 5.4
- **3155685** (Juli 2026) und **3101986** (April 2022), WebClient UI, CVSS 4.1

## Weitere Themen

Im mittleren Bereich liegen vor allem SSRF (AS ABAP, AS Java Web Services), XSS (Visual Composer, Web Dynpro Java), Schwächen in NWDI Cockpit, Enterprise Portal und BusinessObjects sowie weitere Kernel-Hinweise.

## Was SAP-Verantwortliche jetzt tun sollten

1. **Betroffenheit prüfen:** Kernel-Release und SAP_BASIS-Stand mit den betroffenen Versionen abgleichen. Fast alle kritischen Hinweise betreffen Kernel oder AS ABAP.
2. **Priorisieren:** Zuerst die vier Hinweise mit CVSS 10.0 und ohne Anmeldung, bei internet-erreichbaren Systemen, Web Dispatchern und Gateways vorrangig.
3. **Korrekturen einspielen:** Kernel-Updates bündeln, damit ein Kernel-Wechsel mehrere Hinweise erledigt. Voraussetzungen und Korrekturanweisungen stehen in den Notes.
4. **Ergänzend absichern:** Netzwerkzugriff auf Gateway, Web Dispatcher und ICM einschränken, SAML2-Konfiguration prüfen. Diese Maßnahmen ersetzen keinen Patch.

## Demnächst…

**24.11.2026 | Expertenforum in Heidelberg: „Sichere SAP Cloud: BTP Security und Identity & Access Management als Fundament“**
Erste BTP-Services laufen produktiv, doch Berechtigungen, Konfiguration und Benutzerverwaltung sind noch nicht mitgewachsen? Dieses Event zeigt Ihnen das Fundament einer sicheren SAP Cloud: ein tragfähiges BTP-Security-Konzept und ein Identity & Access Management, das On-Premise und Cloud gemeinsam bedient. In den Masterclasses prüfen Sie Ihre eigene BTP im Mini-Assessment und zeichnen Ihre künftige IAM-Landschaft – Sie gehen mit konkreten nächsten Schritten nach Hause.
[**Mehr Informationen und Anmeldung**](https://rz10.de/event/sichere-sap-cloud-btp-security-und-identity-access-management/)

**25.11.2026 | Webinar: „SAP Cloud ERP: Berechtigungsaufbau & Benutzer verwalten in der Public Cloud“**
Die SAP Public Cloud bringt viele Vorteile mit sich, aber auch neue Spielregeln für Berechtigungen und Benutzerverwaltung. Wir zeigen Ihnen praxisnah, wie Sie die Architektur verstehen, Rollen sinnvoll aufbauen und Benutzer effizient verwalten. So bringen Sie Struktur, Sicherheit und Gelassenheit in Ihr Cloud-ERP.
[**Mehr Informationen und Anmeldung**](https://rz10.de/webinar/sap-cloud-erp-berechtigungsaufbau-benutzer-verwalten-in-der-public-cloud/)