Die gefährlichste der neuen SAP-Lücken wird bereits beim Öffnen einer Sitzung wirksam. Laut Onapsis wird der Extended Passport verarbeitet, sobald eine neue Nutzersitzung vom Client zum Server aufgebaut wird – und zwar über mehrere Kommunikationsprotokolle hinweg. Zwischen ABAP-Systemen ist die verwundbare Funktionalität standardmäßig aktiv.
Daraus ergibt sich die besondere Tragweite: „Da EPP beim Öffnen der Sitzung verarbeitet wird, greifen sämtliche SAP-Kontrollen darüber, wer was tun darf – Benutzersperren, Rollen, Berechtigungsobjekte und Anmelderichtlinien – erst zu einem späteren Zeitpunkt als jenem, an dem der Fehler erreicht wird. Keine davon steht dem Angreifer im Weg", erklärt Onapsis.
Mindestens drei Wege führen zu der Schwachstelle: Web-Anfragen, das SAP-GUI-Protokoll und Remote-Function-Call-Verbindungen (RFC). Erschwerend kommt hinzu, unter welchem Konto der verwundbare Code läuft: „Die betroffenen Komponenten laufen unter dem Betriebssystemkonto, dem die SAP-Installation gehört, weshalb Codeausführung darunter gleichbedeutend damit ist, das SAP-System vollständig zu besitzen", so Onapsis.
Zu den Produkten, die auf dem betroffenen Kernel-Code aufsetzen, zählen S/4HANA, ERP, Business Suite (ECC), NetWeaver, Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO und Solution Manager sowie weitere Anwendungen.
Drei weitere kritische Schwachstellen behebt SAP mit dem aktuellen Patch-Tag. CVE-2026-58240 ist eine fehlende Authentifizierungsprüfung in NetWeaver, die Onapsis auf den Namen S4GET getauft hat. Sie erlaubt entfernten, nicht authentifizierten Angreifern, unautorisierte Komponenten zu registrieren und Aktionen ohne Berechtigung auszuführen. Der Fehler steckt im modernen SAP-Kernel; betroffen sind laut Onapsis alle Versionen von S/4HANA 2025 und früher.
Hinzu kommen CVE-2026-76969, eine Offenlegung von Zugangsdaten in mandantenfähigen Anwendungen, die das Cloud Application Programming Model (CAP) nutzen, sowie CVE-2026-66768, eine unzureichende Zugriffskontrolle in NetWeaver.
Fünf der Sicherheitshinweise des September-Patchdays 2026 adressieren zudem Schwachstellen mit hohem Schweregrad – in den ABAP Developer Tools, der Integration Suite, dem NetWeaver Business Client, in NetWeaver selbst und in der Commerce Cloud (Search And Navigation).