Im Zentrum der SAP-Updates stehen zwei kritische Schwachstellen, die das Ausführen von beliebigem Code auf betroffenen Systemen ermöglichen. Eine davon resultiert daraus, dass die Anwendung eine veraltete Variante von Apache Log4j 1.2.17 nutzt, die für CVE-2019-17571 anfällig ist. Laut dem auf SAP-Sicherheit spezialisierten Unternehmen Onapsis kann ein Angreifer ohne Privilegien darüber aus der Ferne beliebigen Code auf dem Server ausführen — mit erheblichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.

Die zweite Lücke, CVE-2026-27685, beruht auf einer fehlenden oder unzureichenden Prüfung bei der Deserialisierung hochgeladener Inhalte und erlaubt es Angreifern, nicht vertrauenswürdige oder schädliche Inhalte hochzuladen. Onapsis betont, dass nur die Voraussetzung hoher Privilegien für einen erfolgreichen Angriff verhindert, dass die Schwachstelle den höchstmöglichen CVSS-Wert von 10 erhält.

Zeitgleich veröffentlichte Microsoft Patches für 84 Schwachstellen in verschiedenen Produkten, darunter Dutzende Lücken zur Rechteausweitung und zur Codeausführung aus der Ferne. Adobe wiederum kündigte Korrekturen für 80 Schwachstellen an. Vier davon sind kritische Lücken in Adobe Commerce und Magento Open Source, die zu einer Rechteausweitung und zur Umgehung von Sicherheitsfunktionen führen können. Zusätzlich behob Adobe fünf kritische Schwachstellen in Adobe Illustrator, die das Ausführen von beliebigem Code ermöglichen.

Hewlett Packard Enterprise stellte Fixes für fünf Schwachstellen in Aruba Networking AOS-CX bereit. Die schwerwiegendste ist CVE-2026-23813 mit einem CVSS-Wert von 9.8 — eine Authentifizierungsumgehung, die das Management-Interface betrifft. Laut HPE könnte ein nicht authentifizierter Angreifer aus der Ferne die bestehenden Authentifizierungskontrollen der AOS-CX-Switches umgehen; in einigen Fällen ließe sich dabei auch das Administrator-Passwort zurücksetzen.

Ross Filipek, CISO bei Corsica Technologies, ordnet die Tragweite ein: Ein erfolgreicher Angriff auf diese Aruba-Schwachstelle könne Angreifern die vollständige Kontrolle über die AOS-CX-Netzwerkgeräte verschaffen und es ihnen ermöglichen, ein gesamtes System unbemerkt zu kompromittieren. Die Folge könne eine Störung der Netzwerkkommunikation oder eine Beeinträchtigung zentraler Geschäftsdienste sein. Schwachstellen in Netzwerkgeräten würden zunehmend häufiger, und privilegierter Zugriff auf solche Geräte setze Organisationen einem erheblichen Risiko aus.

Neben diesen Herstellern haben weitere Anbieter in den vergangenen Wochen Sicherheitsupdates veröffentlicht, um verschiedene Schwachstellen zu beheben.