Die gravierendste der nun geschlossenen Lücken betrifft den SAP-Kernel selbst. „OVERPASS ist ein Fehler im SAP-Kernel-Code, der diese Struktur verarbeitet. Eine speziell präparierte Anfrage an ein betroffenes System kann missbraucht werden, um die Kontrolle über den empfangenden Prozess zu übernehmen und von dort aus Betriebssystembefehle auf dem Host auszuführen“, erklärte Onapsis-CTO JP Perez-Etchegoyen.
Besonders problematisch ist die Erreichbarkeit des verwundbaren Codes. Da die EPP-Verarbeitung gemeinsam genutzter Kernel-Code ist, den mehr als ein Protokoll verwendet, lässt sich der Fehler laut Perez-Etchegoyen über die zum Internet gerichtete Web-Schicht ebenso ansprechen wie über die SAP-GUI-Schicht, mit der sich jeder Endanwender verbindet, und über die RFC-Schicht, die SAP-Systeme untereinander verknüpft. Keiner dieser Wege verlangt Zugangsdaten – „keine einzelne Netzwerkmaßnahme kann das Risiko vollständig mindern“.
Gelingt die Ausnutzung, kann ein Angreifer den SAP Secure Store auslesen und damit Datenbank-Zugangsdaten, Passwort-Hashes und sämtliche dort verwahrten Geschäftsdaten erbeuten. Ebenso möglich sind das Mitlesen der laufenden Sitzungsdaten angemeldeter Nutzer, das Extrahieren gespeicherter Zugangsdaten für die seitliche Bewegung in jedes weitere SAP-System sowie das Verändern von Anwendungsdaten, Systemkonfiguration und SAP-Binärdateien.
Die zweite kritische Schwachstelle, CVE-2026-58240 mit CVSS 9.8, sitzt im SAP NetWeaver Message Server. „S4GET ist ein Logikfehler, keine Fehlkonfiguration“, sagte der Sicherheitsforscher Pablo ‚Partu’ Agustin Artuso. Betroffen seien die 9.x-Kernel-Linien von SAP – jene Kernel, auf denen SAP S/4HANA und SAP S/4HANA Cloud Private Edition laufen, und möglicherweise weitere ABAP-basierte Produkte.
Auch hier ist die Erreichbarkeit das eigentliche Problem: Der Fehler werde über denselben öffentlichen Port ausgelöst, mit dem sich jeder SAP-GUI-Client verbindet, sagt Artuso. Er lasse sich daher nicht per Firewall abriegeln, ohne die Anmeldung der Endanwender zu unterbinden. Für die Ausnutzung brauche es weder Zugangsdaten noch ein Zertifikat noch eine bereits bestehende Fehlkonfiguration; ein erfolgreicher Angriff liefere vollständige Codeausführung aus der Ferne als <sid>adm – jenem Betriebssystem-Benutzer, unter dem SAP läuft – auf jedem Anwendungsserver im Cluster.
Onapsis rät Anwendern, sämtliche SAP-Systeme zu inventarisieren, zum Internet hin exponierte Instanzen vor internen zu patchen, die Angriffsfläche wo möglich zu verringern und auf Ausnutzungsversuche zu achten. „Stellen Sie sicher, dass Sie Einblick in Ihre SAP-Anwendungsschicht haben, damit Versuche, diese Schwachstelle auszunutzen, erkannt und untersucht werden können, während der Rollout noch läuft“, sagte Perez-Etchegoyen zu CVE-2026-44756.
Einen verbreiteten Irrtum räumt er ausdrücklich aus: SAP-Berechtigungen und Kontrollen zur Funktionstrennung (Segregation of Duties) helfen nicht. Der verwundbare Code laufe vor jedem Authentifizierungsschritt ab – das Sperren von Benutzern, engere Rollen, strengere Passwortrichtlinien oder eingeschränkte Transaktionszugriffe hätten auf diesen Angriffspfad keinerlei Wirkung.