Mobile-Menu

Kritische Schwachstellen Unzureichende Autorisierung bei SAP S/4HANA und NetWeaver

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Onapsis Europe GmbH

Zwei kritische Sicherheitslücken in SAP S/4HANA und NetWeaver ermög­li­chen es authentifizierten Benutzern mit geringen Berechtigungen, in die Anwendungen einzugreifen. SAP hat entsprechende Maßnahmen ergriffen, um diese kritischen Schwachstellen zu beheben.

Beide Schwachstellen – EUVD-2026-6392 / CVE-2026-0488 und EUVD-2026-6472 / CVE-2026-0509 – ermöglichen Cyberkriminellen die Ausführung von Remote Code beziehungsweise von Remote Function Calls, da die Autorisierung in S/4HANA und NetWeaver ABAP fehlerhaft ist.(Bild: Thapana_Studio - stock.adobe.com)
Beide Schwachstellen – EUVD-2026-6392 / CVE-2026-0488 und EUVD-2026-6472 / CVE-2026-0509 – ermöglichen Cyberkriminellen die Ausführung von Remote Code beziehungsweise von Remote Function Calls, da die Autorisierung in S/4HANA und NetWeaver ABAP fehlerhaft ist.
(Bild: Thapana_Studio - stock.adobe.com)

Zwei kritische Sicherheitslücken, die SAP bei seinem Patchday im Februar schloss, sind auf unzureichende oder fehlende Autorisierung zurückzuführen. In beiden Fällen benötigt ein Angreifer, der in der Lage war, sich zu authentifizieren, nur geringe Berechtigungen, um er­heblich auf die Integrität und Verfügbarkeit der Anwendungen einzuwirken.

Code Injection in S/4HANA

Bei der ersten Schwachstelle handelt es sich um eine Code-Injection-Sicherheitslücke, die das SAP Customer Relationship Ma­na­ge­ment (CRM) betrifft, das direkt in der ERP-Software (Enter­prise Resource Planning) S/4HANA eingebettet ist. Ein authentifizierter Angreifer kann EU­VD-2026-6392* / CVE-2026-0488 (CVSS-Score 9.9, EPSS-Score 0.00) ausnutzen und un­au­to­risierte Befehle ausführen, wie zum Beispiel beliebige SQL-Anweisungen. Dies kann zu einer vollständigen Kompromittierung der Datenbank führen. Konkret betroffen von der Schwach­stelle ist der Scripting Editor in S/4HANA, der es Nutzern ermöglicht, automatisierte Skripte zu erstellen, aufzuzeichnen und auszuführen. Die Schwachstelle ist auf eine unzureichende Kontrolle bei der Autorisierung bestimmter Funktionen, die über generische Bausteine aufgerufen werden, zurückzuführen.

SAP hat einen Patch für EUVD-2026-6392 / CVE-2026-0488 bereitgestellt sowie zusätzliche Allowlist-Prüfungen für den betroffenen generischen Funktionsmodulaufruf. Alternativ kann der betroffene ICF-Dienst (Internet Communication Framework) vorübergehend deaktviert werden. Folgende Versionen von SAP CRM and SAP S/4HANA sind von der Code Injection betroffen:

  • 801
  • 800
  • 106
  • 747
  • 108
  • 107
  • 109
  • 748
  • 701
  • 104
  • 105
  • 731
  • S4FND 102
  • WEBCUIF 700
  • 746
  • 103
  • 730
  • SAP_ABA 700

Missing Authorization check in NetWeaver

Die Sicherheitsanfälligkeit EUVD-2026-6472 / CVE-2026-0509 (CVSS-Score 9.6, EPSS-Score 0.00) betrifft den SAP NetWeaver Application Server ABAP und die ABAP-Plattform und erlaubt es einem authentifizierten, jedoch niedrig privilegierten Benutzer, nicht autorisierte Hinter­grund-Remote-Function-Calls (RFCs) auszuführen, ohne die erforderliche „S_RFC“-Berech­ti­gung. Auch hier liegt dem Problem eine fehlende Autorisierungsprüfung zugrunde, wodurch Angreifer die Berechtigungsanforderungen umgehen können. Um die Sicherheitslücke zu schließen, müssen Kunden ein Kernel-Update durchführen und einen Profilparameter fest­legen. Zudem sind möglicherweise Anpassungen der Benutzerrollen und User-Control-Ein­stellungen erforderlich.

Betroffen von EUVD-2026-6472 / CVE-2026-0509 sind folgende Versionen von NetWeaver Application Server ABAP und der ABAP-Plattform:

  • KRNL64NUC 7.22
  • 7.54
  • 7.93
  • 9.18
  • KRNL64UC 7.22
  • 9.19
  • 9.16
  • 7.77
  • 7.53
  • KERNEL 7.22
  • 7.22EXT
  • 7.89

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50716897)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte