SAP Patches CVSS 9.9 NetWeaver ABAP Flaw

SAP hat im Juli 2026 ein Sicherheitsupdate für eine kritische Schwachstelle in SAP NetWeaver Application Server ABAP mit CVSS 9.9 veröffentlicht. Angrei…

Was ist passiert?

Am 14. Juli 2026 veröffentlichte SAP seine monatlichen Sicherheitsupdates. Darunter: ein Patch für eine schwerwiegende Lücke im NetWeaver ABAP-Server. Die Schwachstelle trägt die CVE-Nummer CVE-2026-44747 und erreicht einen CVSS-Score von 9,9 – die zweithöchste Stufe überhaupt.

Sie betrifft das SAP-System vieler Unternehmen weltweit. Wer die Lücke ausnutzt, kann auf sensible Daten zugreifen oder sie verändern. SAP stuft das Risiko als „kritisch“ ein.

Technische Details zur Schwachstelle

CVE-2026-44747 ist ein Out-of-Bounds-Write-Fehler. Ein authentifizierter Angreifer kann logische Fehler im Speichermanagement ausnutzen. Das führt zu einer Speicherkorruption, die wiederum das Auslesen oder Verändern von Daten ermöglicht.

Besonders heikel: Der Angreifer muss zwar am System angemeldet sein, aber oft reichen dafür niedrige Berechtigungen. In vielen Konfigurationen können dann vertrauliche Geschäftsdaten abfließen oder manipuliert werden.

„Das ist eine ernste Sache“, sagt ein Sicherheitsexperte, der nicht genannt werden möchte. „Unternehmen sollten den Patch sofort testen und ausrollen. Jeder Tag Verzögerung erhöht das Risiko.“

Betroffene Versionen und Workarounds

Laut SAP sind alle NetWeaver-ABAP-Versionen ab 7.0 betroffen. Ältere Versionen sind möglicherweise ebenfalls verwundbar, erhalten aber keinen Patch mehr.

Bis der Patch installiert ist, empfiehlt SAP, den Zugriff auf kritische Transaktionen streng zu kontrollieren. Ein vollständiger Workaround existiert nicht. Du solltest die SAP-Security-Notes genau prüfen und die Priorität hoch setzen.

Was bedeutet das für dich?

Wenn du SAP-Systeme betreibst, handelt es sich um eine der kritischsten Warnungen der letzten Jahre. Der CVSS-Score von 9,9 ist fast so hoch wie möglich. Nur ein einziger Fehler in der Konfiguration kann ausreichen, um die Lücke ausnutzbar zu machen.

Die gute Nachricht: SAP hat den Patch veröffentlicht. Die schlechte: Viele Unternehmen zögern bei der Installation. Dabei ist Zeit ein entscheidender Faktor. Angreifer suchen gezielt nach ungepatchten Systemen.

Ein Sicherheitsforscher von Onapsis erklärte gegenüber Medien, dass die Lücke besonders gefährlich sei, weil sie in einer Kernkomponente steckt. „Das ist kein Randproblem. NetWeaver ABAP ist das Herz vieler SAP-Landschaften.“

Reaktionen aus der Community

In Foren und auf Social Media diskutieren Admins über die Dringlichkeit. Einige berichten, dass sie den Patch bereits am ersten Tag eingespielt haben. Andere warten noch auf interne Tests. „Wir brauchen drei Wochen für die Qualifizierung“, schreibt ein User im SAP-Community-Forum. „Das ist zu lang.“

Die meisten Experten raten: Teste den Patch in einer isolierten Umgebung und rolle ihn dann schnell aus. Warte nicht auf den nächsten Wartungszyklus.

Und was ist mit dir? Hast du den Patch bereits installiert? Wenn nicht, solltest du jetzt handeln.

Fazit und nächste Schritte

SAP hat im Juli 2026 eine kritische Lücke geschlossen. CVE-2026-44747 ist kein alltäglicher Bug – er verdient höchste Aufmerksamkeit. Unternehmen, die SAP NetWeaver ABAP einsetzen, müssen schnell reagieren.

Prüfe deine Systeme, lies die SAP-Security-Notes und plane das Update ein. Wer jetzt zögert, riskiert Datenlecks oder Manipulationen. Die Sicherheitsupdates sind verfügbar – nutze sie.