Kritische SAP-Lücke: SQL-Injection in BPC & BW patchen

Business Planning and Consolidation und Business Warehouse Kritische SQL-Injection bei SAP

24.04.2026 Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Aagon GmbH

sysob IT-Distribution GmbH & Co. KG

Onapsis Europe GmbH

Eine kritische Sicherheitslücke in den SAP-Lösungen Business Planning and Consolidation und Business Warehouse erfordert die Aufmerksamkeit von Systemadmins. Eine unzureichende Berechtigungsprüfung kann zu SQL-Injection führen.

SAP Business Warehouse ist eine Analytics-Plattform und SAP Business Planning and Consolidation ist die darauf aufsetzende Planungs Budgetierungs und Konsolidierungslösung. Die beiden Lösungen sind durch eine kritischen Schwachstelle gefährdet.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert) — SAP Business Warehouse ist eine Analytics-Plattform und SAP Business Planning and Consolidation ist die darauf aufsetzende Planungs Budgetierungs und Konsolidierungslösung. Die beiden Lösungen sind durch eine kritischen Schwachstelle gefährdet.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

19 neue Sicherheitshinweise hat SAP bei seinem Patchday im April veröffentlicht. Eine Schwachstelle davon ist kritisch und sollte dringend geschlossen werden. Sie betrifft die Lösungen Business Planning and Consolidation und Business Warehouse. EUVD-2026-22154 / CVE-2026-27681 hat einen CVSS-Score von 9.9. Bisher hat die Schwachstelle noch einen EPSS-Score^* von 0.00 und gilt als nicht aktiv in Cyberattacken verwendet, doch dies bedeutet nicht, dass von ihr kein Risiko ausgeht.

Cyberangreifer können die SQL-Injection-Schwachstelle in Fortinets FortiClient EMS ausnutzen, indem sie speziell präparierte HTTP-Anfragen mit bösartigen SQL-Befehlen an den anfälligen Server senden. (Bild: Gemini / Vogel IT-Medien GmbH / KI-generiert)

Fehlerhafte Berechtigungsprüfung

Grund für die Sicherheitslücke ist eine unzureichende Berechtigungsprüfung in den Lösungen. Ein authentifizierter kann speziell präparierte SQL-Anweisungen ausführen, um Datenbanken zu lesen, zu ändern und zu löschen. In seinem Note 3719353 empfiehlt SAP seinen Kunden als temporäre Übergangslösung, das Berechtigungsobjekt „S_GUI“ mit der Aktivität 60 aus User-Konten zu entfernen. Nichtsdestotrotz sollte zeitnah eine der gepatchten Versionen installiert werden.

Diese Versionen von Business Planning and Consolidation und Business Warehouse sind anfällig:

Produkt	Version
SAP Business Warehouse	SAP_BW 750
SAP Business Warehouse	SAP_BW 752
SAP Business Warehouse	SAP_BW 753
SAP Business Warehouse	SAP_BW 754
SAP Business Warehouse	SAP_BW 755
SAP Business Warehouse	SAP_BW 756
SAP Business Warehouse	SAP_BW 757
SAP Business Warehouse	SAP_BW 758
SAP Business Warehouse	SAP_BW 816
SAP Business Planning and Consolidation	BPC4HANA 300
SAP Business Planning and Consolidation	HANABPC 810

Die weiteren Schwachstellen, die beim SAP Patchday geschlossen wurden betreffen folgende Produkte:

Betroffenes Produkt	CVSS-Score
SAP ERP and SAP S/4 HANA (Private Cloud and On-Premise)	7.1
SAP BusinessObjects Business Intelligence Platform	6.5
SAP Human Capital Management for SAP S/4HANA	6.5
SAP Business Analytics and SAP Content Management	6.5
SAP S/4HANA OData Service (Manage Reference Equipment)	6.5
SAP S/4HANA Backend OData Service (Manage Reference Structures)	6.5
SAP S/4HANA Frontend OData Service (Manage Reference Structures)	6.5
SAP Supplier Relationship Management (SICF Handler in SRM Catalog)	6.1
SAP NetWeaver Application Server Java (Web Dynpro Java)	6.1
SAP NetWeaver Application Server ABAP	6.1
SAP HANA Cockpit and HANA Database Explorer	5.0
SAP S/4HANA (Private Cloud and On-Premise)	4.9
Material Master Application	4.3
SAP S/4HANA OData Service (Manage Technical Object Structures)	4.3
SAP S4CORE (Manage Journal Entries)	4.3
SAP BusinessObjects Business Intelligence Platform	4.2
SAP BusinessObjects Business Intelligence Platform	4.1
SAP NetWeaver Application Server ABAP	3.1
SAP Landscape Transformation	2.0

Für Unternehmen bedeutet der SAP-Patchday Dezember 2025 akuten Handlungsbedarf, da drei kritische Sicherheitslücken im Solution Manager, in der Commerce Cloud und in jConnect bis zur vollständigen Systemübernahme und damit zu Betriebsunterbrechungen und Datenverlust führen können. (Bild: greenbutterfly - stock.adobe.com)

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der entsprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50817172)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.