Im Mittelpunkt des Patch Day steht CVE-2026-58231 in SAP Commerce Cloud (Data Hub Adapter). SAP bewertet die Schwachstelle mit 10,0 von 10 Punkten auf der CVSS-Skala. Der Fehler beruht auf unzureichender Autorisierung und könnte es entfernten Angreifern ermöglichen, eine Authentifizierung zu umgehen. Laut Beschreibung wären dadurch wahrscheinlich Codeausführung und unbefugter Zugriff auf interne Komponenten möglich, mit Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.
Zwei weitere kritische Hinweise betreffen SAP Manufacturing Integration and Intelligence. Dabei handelt es sich um die Code-Injection-Schwachstellen CVE-2026-44772 mit einem CVSS-Wert von 9,9 und CVE-2026-44758 mit 9,1 Punkten. Verwundbare Servlets erlauben es Angreifern demnach, speziell präparierte Eingaben einzuschleusen, was zur Ausführung beliebiger Befehle auf dem zugrunde liegenden Host führen kann. SAP zufolge wäre damit eine vollständige Kompromittierung der Infrastruktur möglich. Die Anwendungssicherheitsfirma Onapsis erklärt, dass die beiden Fehler ähnlich seien, einer von ihnen für eine Ausnutzung jedoch höhere Berechtigungen voraussetze.
Der vierte kritische Befund ist CVE-2026-34265 mit einem CVSS-Wert von 9,8. SAP beschreibt die Schwachstelle als Speicherkorruptionsproblem in Application Server ABAP für NetWeaver und ABAP Platform. Ursache seien logische Fehler bei der Verarbeitung des DIAG-Protokolls. Die Lücke lasse sich ohne Authentifizierung ausnutzen, um sensible Informationen offenzulegen oder das System zum Absturz zu bringen. Auch hier nennt SAP Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.
Zusätzlich hat SAP eine bereits zum Patch Day im Juli 2026 veröffentlichte kritische Security Note aktualisiert. Sie betrifft eine kritische Speicherkorruptionsschwachstelle in NetWeaver Application Server ABAP. Die Aktualisierung enthält laut SAP zusätzliche Informationen.
Neben den vier kritischen Hinweisen veröffentlichte SAP am Dienstag acht Notes zu Schwachstellen mit hohem Schweregrad. Betroffen sind ABAP Developer Tools, Commerce Cloud, Change and Transport System Attach Tool, BusinessObjects, Manufacturing Integration and Intelligence sowie Business AI Platform (Approuter).
Die ersten sieben dieser Hinweise behandeln Privilegienausweitung, Pufferüberlauf, Remotecodeausführung, Offenlegung von Zugangsdaten, Directory Traversal und fehlende Autorisierungsprüfungen. Der siebte Hinweis behebt nach SAP-Angaben 11 Sicherheitslücken in Approuter. Die übrigen zum August-Patch-Day veröffentlichten Hinweise adressieren Schwachstellen mittlerer und niedriger Schwere.
Wichtig ist auch, was SAP nicht meldet: Das Unternehmen erwähnt nicht, dass eine der nun behandelten Schwachstellen bereits aktiv ausgenutzt wird.