SAP Schwachstelle
CVSS 10 im SAP-Kernel: OVERPASS öffnet Angreifern den Weg zu kritischen Geschäftssystemen
CVSS-10-Schwachstelle betrifft S/4HANA, ECC und NetWeaver
Mit OVERPASS trifft SAP-Kunden eine Schwachstelle an einer besonders sensiblen Stelle: direkt im Kernel und damit im technischen Fundament zahlreicher geschäftskritischer Systeme. CVE-2026-44756 erreicht mit CVSS 10,0 die maximale Risikobewertung und kann ohne vorherige Authentifizierung angegriffen werden. Besonders problematisch ist, dass nicht nur internetexponierte SAP-Systeme betroffen sein können – auch interne Angriffswege über SAP GUI und RFC erhöhen den Handlungsdruck deutlich.
Qualys ordnet die kritische SAP-Schwachstelle OVERPASS ein und warnt insbesondere vor der breiten Angriffsfläche über Web, SAP GUI und RFC.
Präparierte Anfragen können SAP-Systeme vollständig kompromittieren
SAP hat im Rahmen seiner aktuellen Security Updates insgesamt 22 Security Notes veröffentlicht, darunter fünf HotNews-Einträge. Im Mittelpunkt steht CVE-2026-44756, intern als „OVERPASS“ bezeichnet.
Die Schwachstelle befindet sich in der Extended-Passport-Processing-Bibliothek (EPP) des SAP-Kernels. Nach Angaben von Mayuresh Dani, Security Research Manager bei der Qualys Threat Research Unit (TRU), handelt es sich um einen stack-basierten Buffer Overflow.
Über eine speziell präparierte Netzwerkanfrage mit fehlerhaftem EPP-Header können nicht authentifizierte Angreifer eine Speicherbeschädigung auslösen und unter Umständen die Kontrolle über den verarbeitenden Prozess übernehmen. Im schlimmsten Fall lassen sich dadurch beliebige Betriebssystembefehle auf dem SAP-Host mit weitreichenden SAP-Berechtigungen ausführen.
Die Folge wäre nicht nur die Kompromittierung eines einzelnen Servers. Angreifer könnten potenziell auf geschäftskritische Daten und Prozesse zugreifen, die über SAP-Systeme gesteuert werden – darunter Finanzwesen, Personalabrechnung oder Lieferketten.
Angriff bereits vor der eigentlichen Autorisierungsprüfung
Besonders kritisch ist die Position der betroffenen EPP-Funktion innerhalb der Verarbeitungskette. Extended Passports dienen unter anderem als Tracing-Mechanismus, mit dem Anfragen über miteinander verbundene SAP-Systeme hinweg nachvollzogen werden können.
Die Verarbeitung erfolgt laut Qualys bereits, bevor die eigentlichen Autorisierungsinformationen einer Anfrage geprüft werden. Genau dieser frühe Verarbeitungsschritt eröffnet den Angriffspfad.
Ein manipuliertes Tag kann demnach ausreichen, um den Prozess zu kompromittieren, der eine Anfrage bearbeitet. Für einen erfolgreichen Angriff sind damit keine gültigen SAP-Zugangsdaten erforderlich.
Drei Angriffswege vergrößern die Attack Surface
OVERPASS ist nicht auf einen einzigen Zugriffsweg beschränkt. Die Schwachstelle kann über drei unterschiedliche Ebenen erreicht werden:
Über die Web-Schicht können Angriffe beispielsweise über den Internet Communication Manager (ICM) oder den SAP Web Dispatcher und damit über HTTP erfolgen. Gleichzeitig existieren Angriffsmöglichkeiten über SAP GUI sowie über die RFC-Kommunikation zwischen SAP-Systemen.
Damit greift eine klassische Sicherheitsannahme zu kurz: Ein SAP-System ist nicht automatisch ausreichend geschützt, nur weil es nicht direkt aus dem Internet erreichbar ist.
Insbesondere der SAP-GUI-Angriffsweg bleibt relevant, da dieser laut Qualys auf den Anwendungsservern architekturbedingt zur Verfügung steht. Auch kompromittierte interne Systeme könnten damit als Ausgangspunkt für weitere Angriffe dienen.
S/4HANA, ECC und NetWeaver gehören zu den betroffenen Plattformen
Die verwundbare Kernel-Komponente ist Bestandteil zahlreicher weit verbreiteter SAP-Produkte und Plattformen. Dazu zählen unter anderem S/4HANA, ERP beziehungsweise Business Suite ECC, NetWeaver, Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO und Solution Manager.
Damit dürfte die potenzielle Angriffsfläche in vielen Unternehmensumgebungen erheblich sein.
Bislang sind nach Angaben von Qualys keine öffentlichen Exploits oder Proof-of-Concepts bekannt. Das Zeitfenster könnte jedoch klein sein. Sobald ein Hersteller-Patch verfügbar ist, können Angreifer durch die Analyse der Änderungen versuchen, die zugrunde liegende Schwachstelle zu rekonstruieren und daraus Exploit-Code abzuleiten.
Patch-Management wird zum betrieblichen Problem
Technisch ist die Konsequenz eindeutig: Betroffene Systeme sollten möglichst schnell aktualisiert werden. Operativ kann genau das jedoch schwierig werden.
Kernel-Updates erfordern in SAP-Umgebungen typischerweise einen Neustart. Bei Systemen, die zentrale Geschäftsprozesse unterstützen, müssen dafür häufig Wartungsfenster abgestimmt und Abhängigkeiten berücksichtigt werden.
Qualys empfiehlt deshalb eine klare Priorisierung: Zunächst sollten internetzugängliche Systeme gepatcht werden, anschließend interne SAP-Systeme.
Für den HTTP-Angriffsweg stellt SAP nach Angaben von Qualys eine temporäre Mitigation bereit. Sie reduziert jedoch lediglich die Web-Angriffsfläche und schützt nicht vor Angriffen über SAP GUI oder RFC. Als ergänzende Härtungsmaßnahmen können Unternehmen unter anderem SAProuter, Jump Hosts und Web Dispatcher einsetzen. Entscheidend bleibt dennoch der Patch.
OVERPASS zeigt die besondere Risikoklasse von SAP-Schwachstellen
Die Schwachstelle verdeutlicht ein grundsätzliches Problem beim Schutz geschäftskritischer ERP-Landschaften: Die größte Gefahr geht nicht zwangsläufig nur von öffentlich erreichbaren Anwendungen aus.
Wenn sich eine kritische Schwachstelle über interne Protokolle und Administrationswege ausnutzen lässt, wird auch die Segmentierung innerhalb des Unternehmensnetzes zum Sicherheitsfaktor. Gleichzeitig steigt die Bedeutung von Monitoring, da Unternehmen während eines gestaffelten Patch-Rollouts gezielt nach möglichen Exploit-Versuchen suchen müssen.
Bei einer CVSS-10-Schwachstelle im SAP-Kernel ist das Patchen deshalb keine klassische Routineaufgabe. OVERPASS sollte als potenzieller Einstiegspunkt in zentrale Geschäftsprozesse behandelt und entsprechend priorisiert werden.
