Mobile-Menu

Kritische Sicherheitslücken Hacker schmuggeln bösartigen Code in S/4HANA und Commerce Cloud

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG
FAST LTA GmbH
Onapsis Europe GmbH

Zwei kritische SAP-Schwachstellen gefährden sensible Daten. Eine SQL-Injection trifft S/4HANA Enterprise Search und in Commerce Cloud er­möglicht eine fehlerhafte Spring-Security-Konfiguration serverseitige Codeausführung.

In S/4HANA Enterprise Search können bösartige SQL-Anweisungen injiziert werden. In SAP Commerce Cloud können Angreifer bösartige Konfigurations-Uploads nutzen, um beliebigen serverseitigen Code auszuführen.(© cendhika - stock.adobe.com)
In S/4HANA Enterprise Search können bösartige SQL-Anweisungen injiziert werden. In SAP Commerce Cloud können Angreifer bösartige Konfigurations-Uploads nutzen, um beliebigen serverseitigen Code auszuführen.
(© cendhika - stock.adobe.com)

15 neue Sicherheitshinweise hat SAP bei seinem Patchday im May 2026 veröffentlicht. Zwei Sicherheitslücken, für die nun Patches bereitsstehen, sind kritisch und haben einen CVSS-Score von 9.6. Die Schwachstellen betreffen zum einen Enterprise Search, die in S/4HANA eingebaute Suchplattform, sowie SAP Commerce Cloud.

SQL-Injection in S/4HANA

EUVD-2026-29371 / CVE-2026-34260 (EPSS-Score* 0.00) ist eine SQL-Injection-Schwach­stelle und betrifft S/4HANA, genauer gesagt Enterprise Search for ABAP. Dabei handelt es sich um die in SAP S/4HANA integrierte Suchplattform, die auf der High‑Performance Analytic Appliance (HANA) basiert. Sie erlaubt ein schnelles, berechtigungs­gerechtes Auffinden von Geschäftsobjekten wie Geschäftspartnern, Aufträgen und Materialien innerhalb eines S/4HANA‑Mandanten.

Authentifizierte Angreifer können bösartige SQL-Anweisungen über benutzergesteuerte Eingaben einschleusen. Infolge fügt die Anwendung diese bösartigen Benutzereingaben direkt in SQL-Abfragen ein, welche anschließend ohne angemessene Validierung oder Bereinigung an die zugrundeliegende Datenbank übermittelt werden. Bei erfolgreicher Ausnutzung kann ein Angreifer unbefugten Zugriff auf sensible Datenbankinformationen erlangen und die An­wendung potenziell zum Absturz bringen.

Betroffen davon sind folgende Versionen von S/4HANA (SAP Enterprise Search for ABAP):

  • SAP_BASIS 758
  • SAP_BASIS 753
  • SAP_BASIS 816
  • SAP_BASIS 755
  • SAP_BASIS 754
  • SAP_BASIS 757
  • SAP_BASIS 756
  • SAP_BASIS 751
  • SAP_BASIS 752

Bösartige Konfigurationen und Code-Injection

EUVD-2026-29372 / CVE-2026-34263 (EPSS-Score 0.00) beschreibt eine fehlerhafte Kon­fi­gu­ration von Spring Security, die in SAP Commerce Cloud das Durchführen von bösartigen Kon­fi­gurations-Uploads sowie Code-Injection ermöglicht. Dafür müssen die Angreifer nicht au­then­ti­fiziert sein und können beliebigen serverseitigen Code ausführen. Davon betroffen sind Commerce cloud configuration COM_CLOUD 2211, 2211-JDK21 und HY_COM 2205.

Die Patches für beide Schwachstellen finden SAP-Kunden hier.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50843158)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte