SAP schließt vier kritische Lücken, darunter wieder eine im Visual Composer

Markus Seyfferth

Autor Dr. Web

14. Oktober 2026

2 Min. Lesezeit

Den Höchstwert von 10,0 vergibt SAP im Oktober an eine Python-Bibliothek: Das SAP Cloud SDK für Python kann OAuth-Zugangsdaten an einen fremden Server schicken. Drei weitere kritische Lücken betreffen S/4HANA, Manufacturing Integration and Intelligence und den Visual Composer, über den Angreifer 2025 bereits in Systeme eindrangen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Vier der 20 neuen Sicherheitshinweise vom 13. Oktober stuft SAP als kritisch ein, dazu kommen zwei überarbeitete ältere Hinweise.^[1] Ohne jede Anmeldung erreicht ein Angreifer nur die Lücke im Python-SDK, für die drei anderen braucht der Angreifer bereits ein Konto im System.

Das Wichtigste in Kürze

Das SAP Cloud SDK für Python leitet vor Version 0.45.2 in Mehrmandanten-Anwendungen Token-Anfragen auf fremde Server um, Schweregrad 10,0.
Im Visual Composer von NetWeaver genügt ein Konto mit geringen Rechten, um Operationen auf angebundenen Zielsystemen auszulösen (9,9).
In S/4HANA führt das Werkzeug für Substitutions- und Validierungsregeln eingeschleusten ABAP-Code aus (9,9).
Für NIS2-pflichtige Unternehmen gehört das Schwachstellenmanagement zu den Pflichten, deren Umsetzung die Geschäftsleitung überwachen muss.

Wie gelangen die Zugangsdaten zum Angreifer?

Orangefarbener Umschlag mit der Aufschrift „An: Irgendwen“ und einem orangen Schlüssel — SDK konstruiert Anmelde-Serveradresse aus tenant_subdomain-Parameter. Fehlende Validierung ermöglicht Angreifern, eigene Server einzusetzen und OAuth-Anfragen mit Client-Zugangsdaten abzufangen

Das SDK baut die Adresse des Anmeldeservers aus dem Parameter tenant_subdomain zusammen, also aus der Subdomain des jeweiligen Mandanten einer Anwendung auf der Business Technology Platform (BTP). Prüft die Anwendung diesen Wert nicht, setzt ein Angreifer eine eigene Adresse ein. Die Bibliothek schickt die OAuth-Anfrage samt Client-Zugangsdaten dann an den Server des Angreifers.^[2] Mit Client-ID und Secret kann sich der Angreifer anschließend selbst als Anwendung anmelden.

Diese Lücke schließt kein Systemupdate. Die Bibliothek steckt in selbst entwickelten Python-Anwendungen, und jedes Entwicklerteam muss sie dort auf Version 0.45.2 aktualisieren.^[1] Bei Anwendungen, die Mandantenkennungen ungeprüft aus Anfragen übernommen haben, sollten Sie die Secrets zusätzlich austauschen.

Warum fällt der Visual Composer schon wieder auf?

Im April 2025 nutzten Angreifer eine Lücke im Metadata Uploader des Visual Composer, für die sie keine Anmeldung brauchten. Die US-Behörde CISA nahm CVE-2025-31324 am 29. April 2025 in ihren Katalog aktiv ausgenutzter Schwachstellen auf, im Mai folgte mit CVE-2025-42999 eine zweite Lücke derselben Komponente.^[3]

Die neue Lücke CVE-2026-89110 steckt in Portalfunktionen ohne ausreichende Berechtigungsprüfung. Ein Konto mit geringen Rechten genügt, um interne Operationen auf einem fest hinterlegten Zielsystem auszulösen. Je nach Verbindung droht dort die vollständige Übernahme.^[1] Den Schaden bestimmt also die hinterlegte Verbindung: Hat deren technischer Benutzer im Zielsystem weitreichende Rechte, erbt der Angreifer diese Rechte.

In S/4HANA nutzt die Funktion für Substitutions- und Validierungsregeln eine eigene Skriptsprache und führt präparierte Regeln als ABAP-Code aus (CVE-2026-89107). Ein Fachanwender mit passenden Geschäftsrechten erlangt so die volle Kontrolle über das System.

Eine Lücke im Portal reicht so weit wie die Rechte, die in den hinterlegten Verbindungen stecken.
Michael Dobler, Herausgeber Dr. Web

Die vier kritischen SAP-Lücken im Oktober

Schweregrad nach CVSS und was ein Angreifer mitbringen muss

Kritische Hinweise vom 13. Oktober 2026

Cloud SDK für Python

10,0

Ohne Anmeldung angreifbar. Token-Anfragen samt Client-Zugangsdaten landen auf fremden Servern. Behoben ab Version 0.45.2.

NetWeaver Visual Composer

9,9

Ein Konto mit geringen Rechten genügt, um Operationen auf hinterlegten Zielsystemen auszulösen.

S/4HANA, Regelwerk

9,9

Fachanwender mit passenden Rechten schleusen über Validierungsregeln ABAP-Code ein.

Manufacturing Integration and Intelligence

9,1

Setzt Administratorrechte in MII voraus und legt Konten mit erhöhten Rechten auf dem Java-Server an.

Der Patchday in Zahlen

Sicherheitshinweise

20 + 2

20 neue Hinweise und zwei Aktualisierungen älterer Hinweise.

Höchstwert in Serie

3 × 10,0

August Commerce Cloud, September Kernel-Lücke OVERPASS, Oktober Cloud SDK für Python.

Was sollten SAP-Kunden jetzt tun?

Eine 10,0 steht nun im dritten Monat in Folge auf der Liste: im August für eine Lücke in der Commerce Cloud, im September für die Kernel-Lücke OVERPASS. Die Commerce-Lücke nutzten Angreifer schon drei Tage nach dem Patch in ungepatchten Shops aus.

Für Unternehmen unter der NIS2-Regulierung ist das Patchen keine Kür. Paragraf 30 des BSI-Gesetzes verlangt ein Management von Schwachstellen,^[4] Paragraf 38 verpflichtet die Geschäftsleitung, die Umsetzung zu überwachen, und lässt sie bei schuldhafter Pflichtverletzung haften.^[5]

Spielen Sie zuerst die Hinweise für Visual Composer und S/4HANA ein. Die MII-Lücke setzt Administratorrechte voraus.
Prüfen Sie, ob Ihr Unternehmen den Visual Composer überhaupt nutzt, und schalten Sie die Komponente sonst ab.
Kontrollieren Sie die Rechte der technischen Benutzer in den Verbindungen Ihrer Portale, denn wuchernde Zugriffsrechte vergrößern jeden Einbruch.