Die aktuellen Patches adressieren Schwachstellen, die das Potenzial für ernsthafte Sicherheitsbrüche bergen. Die erste kritische Lücke ist als CVE-2026-34260 katalogisiert und betrifft S/4HANA. Laut dem Sicherheitsexperten Onapsis handelt es sich um eine SQL-Injection-Schwachstelle, die durch fehlende Eingabevalidierung und Sanitization entstanden ist. Ein authentifizierter Angreifer könnte bösartige SQL-Befehle einschleusen und Datenbankzugriffe erlangen. Während die Sicherheitsfirma betont, dass die vulnerable Code-Stelle nur Lesezugriff ermöglicht, beeinträchtigt ein erfolgreicher Angriff dennoch die Vertraulichkeit und Verfügbarkeit der Anwendung erheblich.
Yet deutlich kritischer ist CVE-2026-34263 in SAP Commerce. Hier liegt eine fehlende Authentifizierungsprüfung in der Cloud-Konfiguration vor. Die Verwundbarkeit entsteht durch eine zu permissive Sicherheitskonfiguration mit fehlerhafter Regelpriorisierung – ein unauthentifizierter Angreifer könnte bösartige Konfigurationen hochladen und Code injizieren, was zu willkürlicher Server-seitiger Code-Ausführung führt. Dies ist besonders gefährlich für E-Commerce-Plattformen und SaaS-Deployments.
Neben diesen beiden kritischen Fällen hat SAP auch eine High-Severity-Lücke in Forecasting & Replenishment (CVE-2026-34259) behoben – eine OS-Command-Injection, die authentifizierten Angreifern die Ausführung willkürlicher Betriebssystem-Befehle ermöglicht. Die restlichen 12 Patches behandeln mittel- und geringgradige Schwachstellen in NetWeaver, Business Server Pages, BusinessObjects und anderen Komponenten.
Bisher gibt es keine Hinweise auf aktive Ausbeutung dieser Lücken. Dennoch rät SAP eindringlich, die Patches so schnell wie möglich einzuspielen. Dies erfolgt vor dem Hintergrund der Mini-Shai-Hulud-Supply-Chain-Attack, bei der vier SAP-NPM-Pakete mit Malware infiziert wurden und über 1.800 Entwickler betroffen waren. Für deutsche Unternehmen bedeutet dies doppelte Wachsamkeit: Sie sollten nicht nur ihre SAP-Systeme aktualisieren, sondern auch ihre Entwicklungsprozesse überprüfen.