Die Reichweite der Kernel-Lücke ist nach Einschätzung von Onapsis erheblich. „Eine gezielte Suche mit präzisen Fingerabdrücken identifiziert mehr als 10.000 einzelne, aus dem Internet erreichbare IP-Adressen, die eine SAP-Weboberfläche öffentlich bereitstellen — und diese Zahl ist konservativ", erklärte Onapsis-CTO JP Perez-Etchegoyen. Gezählt würden nur per HTTP erreichbare Systeme; der SAP Web Dispatcher werde deutlich untererfasst, da er sein Backend als Proxy verbirgt und auf dem Wurzelpfad kein unterscheidbares SAP-Kennzeichen zurückgibt. Damit sei er für weltweite Scanner strukturell schwer zuzuordnen.
Die zweite gewichtige Schwachstelle des Patchtags ist CVE-2026-58240, eine kritische fehlende Authentifizierung im SAP NetWeaver Message Server. Onapsis Research Labs führt sie unter dem Namen S4GET. Nach erfolgreicher Ausnutzung können nicht authentifizierte Angreifer auf den gesamten SAP-Systemcluster zugreifen und über das Netzwerk aus der Ferne Schadcode sowie beliebige Befehle ausführen.
Besonders unangenehm ist dabei der Angriffsweg. „Die Lücke wird über denselben öffentlichen Port ausgelöst, mit dem sich jeder SAP-GUI-Client verbindet — sie lässt sich also nicht per Firewall abschirmen, ohne die Anmeldung der Endanwender zu unterbrechen", erläuterte Onapsis-Forscher Pablo Artuso. Für die Ausnutzung seien weder Zugangsdaten noch ein Zertifikat noch eine bereits bestehende Fehlkonfiguration erforderlich. Ein erfolgreicher Angriff führe zu vollständiger Codeausführung aus der Ferne als Betriebssystemnutzer <sid>adm, unter dem SAP läuft — und das auf jedem Anwendungsserver des Clusters.
Bereits im vergangenen Monat hatte SAP eine weitere Schwachstelle der höchsten Schwerestufe geschlossen: CVE-2026-58231 in der cloudbasierten E-Commerce-Plattform Commerce Cloud. Das Threat-Intelligence-Unternehmen Defused stufte diese Lücke wenige Tage nach dem Patch als in Angriffen aktiv ausgenutzt ein.
SAP-Software steht seit Jahren im Fokus von Angreifern. Die US-Cybersicherheitsbehörde CISA hat seit November 2021 vierzehn SAP-Schwachstellen in ihren Katalog aktiv ausgenutzter Sicherheitslücken aufgenommen; drei davon wurden von Ransomware-Gruppen missbraucht.
SAP ist ein deutscher Softwarekonzern, der im Geschäftsjahr 2025 Gesamterlöse von über 36 Milliarden Euro auswies und 99 der 100 größten Unternehmen weltweit zu seinen Kunden zählt. Entsprechend groß ist die Zahl der Organisationen, die die aktuellen Korrekturen einspielen müssen.