Nach Angaben von SAP erlaubt CVE-2026-44748 in SAP NetWeaver Application Server ABAP und der ABAP Platform einem authentifizierten Angreifer mit normalen Rechten, eine gültig signierte Nachricht zu erhalten und anschließend veränderte signierte XML-Dokumente an den Prüfer zu senden. Laut SAP kann das dazu führen, dass manipulierte Identitätsinformationen akzeptiert werden. Die Folge kann unbefugter Zugriff auf sensible Benutzerdaten sein, außerdem kann die normale Systemnutzung beeinträchtigt werden.
Bei CVE-2026-27671 handelt es sich um eine weitere kritische Schwachstelle in NetWeaver. Sie kann laut SAP ohne Authentifizierung ausgenutzt werden, wenn ein Angreifer präparierte RFC-Anfragen an verwundbare Endpunkte sendet. Ursache ist demnach eine unzureichende Validierung im Kernel, die zu Speicherbeschädigung führen kann.
Zusätzlich zu den kritischen Problemen hat SAP zwei Schwachstellen mit hohem Schweregrad behoben. CVE-2026-29145 umfasst mehrere Apache-Tomcat-Fehler, die SAP Commerce Cloud betreffen. CVE-2026-44751 ist ein Problem mit einer fehlenden Berechtigungsprüfung in NetWeaver AS ABAP.
Darüber hinaus hat das deutsche Softwareunternehmen nach eigenen Angaben verschiedene weitere Schwachstellen in mehreren SAP-Produkten beseitigt. Dazu zählen SQL-Injection, Pfadmanipulation, Cross-Site Scripting, E-Mail-Spoofing und Umgehungen von Berechtigungsprüfungen.
Detaillierte technische Informationen zu den einzelnen Lücken sowie Hinweise zu Gegenmaßnahmen oder Umgehungslösungen stellt SAP nur Kunden mit Zugang zum Sicherheitsportal bereit.
Unternehmen, die die betroffenen Produkte einsetzen, sollten das Einspielen der Updates priorisieren. Das gilt laut Quelle insbesondere für die SAML-Schwachstelle CVE-2026-44748 und den Speicherfehler CVE-2026-27671, die als sehr schwerwiegend bewertet wurden und in Unternehmensumgebungen erhebliche Auswirkungen haben könnten.