# Das SAP-Sicherheitsupdate behebt vier Sicherheitslücken mit maximalem Schweregrad in NetWeaver

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/de/article/sap-patches-four-maximum-severity-flaws-in-netweaver-and-web-di-2026-11-10-ni-de
Section: Software (https://technewslist.com/de/software)
Author: TechNewsList
Language: de
Published: 2026-11-10T18:28:02.142+00:00
Updated: 2026-11-10T18:28:02.145884+00:00

> Der Security Patch Day von SAP im November 2026 befasst sich mit 35 Sicherheitshinweisen, angeführt von vier CVSS 10.0-Schwachstellen, darunter die nicht authentifizierte Remote-Codeausführung von ICM2SHELL.

## TL;DR
- Der Enterprise-Resource-Planning-Anbieter SAP hat seine Empfehlung zum Security Patch Day im November 2026 mit 35 Sicherheitshinweisen veröffentlicht.
- An der Spitze der Veröffentlichung stehen vier eindeutige Schwachstellen mit maximalem Schweregrad, denen der höchstmögliche CVSS-Basiswert von 10,0 zugewiesen wurde.
- Die Schwachstellen ermöglichen es nicht authentifizierten Remote-Angreifern, beliebigen Systemcode auf über das Internet zugänglichen NetWeaver- und Web Dispatcher-Systemen auszuführen.

## Key points
- Schwachstellen werden unter dem Dach ICM2SHELL verfolgt und betreffen die Internet Communication Manager-Komponente in NetWeaver AS ABAP und Java-Stacks.
- Die Ausnutzung erfordert keine Benutzerrechte oder vorherige Authentifizierung und ermöglicht so eine vollständige administrative Übernahme der Kerngeschäftsdatenbanken.
- Sicherheitsforscher identifizierten Remote-Speicherbeschädigungen, die durch manipulierte HTTP- und HTTPS-Netzwerkanforderungen ausgelöst wurden.
- SAP forderte Unternehmenskunden dringend auf, Hotfixes sofort anzuwenden oder die mit dem Internet verbundenen Web Dispatcher-Reverse-Proxy-Schnittstellen zu isolieren.
- Das Notfall-Update kommt, während bundesstaatliche Bedrohungsgruppen aktiv die Unternehmensgrenzen nach ungepatchten ERP-Gateway-Endpunkten durchsuchen.

## Was passiert ist

Der Unternehmenssoftware-Gigant SAP hat seine Security Patch Day-Updates für November 2026 veröffentlicht und Notfallkorrekturen für 35 verschiedene Sicherheitshinweise in seinem Unternehmensressourcenplanungs-, Cloud-Middleware- und Datenbankportfolio herausgegeben. Das monatliche Advisory zeichnet sich durch die Offenlegung von vier separaten Schwachstellen mit maximalem Schweregrad aus, die mit einem katastrophalen CVSS-Score von 10,0 von 10,0 bewertet wurden, was den dringendsten Patch-Auftrag für Unternehmen darstellt, den der deutsche Softwarehersteller in diesem Jahr herausgegeben hat.

Die vier kritischen Schwachstellen, die von Cybersicherheitsforschern gemeinsam unter der Kennung ICM2SHELL verfolgt werden, befinden sich in der Kernarchitektur von SAPs Internet Communication Manager und SAP Web Dispatcher. Der Internet Communication Manager ist eine unverzichtbare Netzwerkkomponente, die in die Anwendungsserver SAP NetWeaver AS ABAP und AS Java eingebettet ist und für die Verarbeitung eingehender Webprotokolle einschließlich HTTP, HTTPS und SMTP verantwortlich ist. Da diese Komponenten typischerweise an öffentlichen Netzwerkgrenzen liegen, um Remote-Mitarbeiter und Lieferkettenpartner zu verbinden, stellen die Schwachstellen akute Angriffsflächen dar.

Laut der Sicherheitsempfehlung von SAP können nicht authentifizierte Remote-Angreifer diese Schwachstellen ausnutzen, indem sie speziell gestaltete Netzwerkpakete an exponierte Endpunkte senden. Eine erfolgreiche Ausnutzung führt zu einer schwerwiegenden Speicherbeschädigung innerhalb des ICM-Prozesses, sodass Angreifer die Authentifizierung vollständig umgehen, beliebige Betriebssystembefehle mit erhöhten Systemprivilegien ausführen und uneingeschränkten Lese- und Schreibzugriff auf die zugrunde liegenden Unternehmensdatenbanken erhalten können.

## Warum es wichtig ist

![Nahaufnahme einer Workstation-Computertastatur auf einem Bürotisch.](https://technewslist.com/storage/v1/object/public/media/api/1794334549303-vbrz62-sap-patches-four-maximum-severity-flaws-in-netweaver-and-web-di-2026-11-10-night-inside-1-d72f484fc1.webp)

*Computertastatur-Workstation, die Systemadministrator-Anmeldeinformationen und Schnittstellenendpunkte darstellt und Unternehmens-ERP-Umgebungen sichert.*

SAP Enterprise-Resource-Planning-Installationen repräsentieren das digitale Nervensystem der globalen Unternehmenswirtschaft. Mehr als 90 Prozent der weltweit größten Unternehmen – darunter globale Banken, Luft- und Raumfahrthersteller, Pharmahersteller und Versorgungsunternehmen – verlassen sich auf SAP, um zentrale Hauptbücher, Gehaltsabrechnungen für Führungskräfte, internationale Lieferketten und Kundenbeziehungsdatenbanken zu verwalten.

Eine mit CVSS 10.0 bewertete Sicherheitslücke zur Remotecodeausführung auf perimeterexponierten SAP-Gateways stellt existenzielle Risiken für die Unternehmenskontinuität dar. In den Händen hochentwickelter Ransomware-Kartelle oder nationalstaatlicher Spionagegruppen ermöglicht der unauthentifizierte Zugriff auf die SAP-Unternehmensumgebung Angreifern die Manipulation von Lieferungen in der Lieferkette, die Ausschleusung sensiblen geistigen Eigentums, die Fälschung von Finanzprüfungsunterlagen oder die vollständige Verschlüsselung geschäftskritischer Anwendungsinstanzen.

Darüber hinaus ist das Patchen von ERP-Systemen in Unternehmen bekanntermaßen komplex. Im Gegensatz zu Consumer-Betriebssystemen, die automatisch Hintergrundpatches anwenden, enthalten SAP-Bereitstellungen in Unternehmen häufig Tausende von benutzerdefinierten Erweiterungen und Legacy-Datenbank-Hooks. Die Anwendung wichtiger NetWeaver-Kernel-Patches erfordert häufig geplante Wartungsausfälle im Unternehmen, was die IT-Sicherheitsteams in einen schwierigen operativen Wettlauf mit automatisierten Bedrohungsscanner-Netzwerken stellt.

## Technische Details

Die in der ICM2SHELL-Beratung identifizierte primäre technische Ursache liegt in einer unzureichenden Eingabevalidierung und Pufferverwaltung innerhalb der asynchronen HTTP-Anforderungsanalyseroutinen des Internet Communication Managers. Wenn der ICM-Dienst eingehende HTTP/2-Frame-Sequenzen oder fehlerhafte Chunked-Transfer-Codierungs-Header verarbeitet, führt ein Off-by-One-Grenzfehler zu einer Heap-basierten Speicherbeschädigung.

Da der ICM-Dienst mit erhöhten Administratorrechten arbeitet, um sich an Standard-Netzwerkkommunikationsports zu binden, kann ein Angreifer durch die Beschädigung seines Heap-Speichers den Befehlszeiger kapern. Durch die Verkettung von Speicheroffenlegungsprimitiven mit strukturierten, rückgabeorientierten Programmiergeräten kann ein externer Angreifer beliebigen binären Shellcode direkt im Speicher ausführen, ohne dass ein gültiger Benutzername, ein Kennwort oder ein Sitzungstoken erforderlich sind.

Die Schwachstelle betrifft mehrere Versionen von SAP NetWeaver Application Server ABAP und Java, SAP Web Dispatcher, SAP Content Server und SAP S/4HANA On-Premise-Installationen. SAP stellte fest, dass Common Vulnerability Scoring System aufgrund des völligen Fehlens von Authentifizierungsanforderungen, der geringen Angriffskomplexität, des über das Netzwerk zugänglichen Angriffsvektors und der Gesamtauswirkungen auf die Vertraulichkeit, Integrität und Betriebsverfügbarkeit der Daten die maximale Basispunktzahl von 10,0 erhielt.

## Auswirkungen auf Markt und Branche

![Reihe beleuchteter Unternehmensserverschränke in einer Unternehmensdatenanlage.](https://technewslist.com/storage/v1/object/public/media/api/1794334550436-19xpjq-sap-patches-four-maximum-severity-flaws-in-netweaver-and-web-di-2026-11-10-night-inside-2-9f03a3f2ac.webp)

*Enterprise-Datenbankserver-Racks, auf denen geschäftskritische Unternehmenssoftwareanwendungen gehostet werden, die dringenden Sicherheitsupdates unterzogen werden.*

Die Offenlegung löste sofortige Notfallwarnungen nationaler Cybersicherheitsbehörden aus, darunter der US-amerikanischen Cybersecurity and Infrastructure Security Agency und dem deutschen Bundesamt für Sicherheit in der Informationstechnik. Beide Behörden veröffentlichten formelle Hinweise, in denen sie Bundesauftragnehmer und Betreiber kritischer Infrastrukturen aufforderten, SAP-Patches Vorrang vor allen anderen monatlichen Softwarewartungen zu geben.

Kommerzielle Threat-Intelligence-Unternehmen berichteten von einem unmittelbaren Anstieg der automatisierten Aufklärungsscans in öffentlichen IP-Bereichen. Bedrohungsakteure begannen, globale Netzwerkperimeter zu untersuchen, um exponierte SAP Web Dispatcher- und ICM-Service-Banner zu identifizieren, und suchten nach anfälligen Endpunkten, bevor die IT-Abteilungen der Unternehmen ein Einfrieren von Änderungen im Notfall einführen und Wartungsfenster planen konnten.

Es wird erwartet, dass der Vorfall die Unternehmensmigration hin zu Zero-Trust-Anwendungsarchitekturen beschleunigen wird. Verantwortliche für Informationssicherheit in Unternehmen haben zunehmend erkannt, dass die Platzierung veralteter ERP-Web-Dispatcher direkt im öffentlichen Internet ein untragbares Systemrisiko darstellt. Infolgedessen beschleunigen Unternehmen die Einführung identitätsbewusster Zero-Trust-Proxys und Secure Access Service Edge-Lösungen, um zentrale Unternehmensanwendungen hinter Multi-Faktor-Authentifizierungsgrenzen zu schützen.

## Worauf man als Nächstes achten sollte

In den kommenden 48 Stunden werden sich Unternehmenssicherheitsadministratoren ausschließlich auf die Validierung und Bereitstellung der offiziellen Sicherheitshinweise von SAP in Produktions- und Disaster-Recovery-Umgebungen konzentrieren. Für Organisationen, die aufgrund betrieblicher Verfügbarkeitsanforderungen nicht in der Lage sind, sofortige Kernel-Updates durchzuführen, stellte SAP vorübergehende Abhilfemaßnahmen bereit, einschließlich der Konfiguration von Web Dispatcher-URL-Filterregeln, um fehlerhafte Chunk-Anfragen zu verwerfen und den Netzwerkeintritt auf verifizierte interne IP-Subnetze des Unternehmens zu beschränken.

Cybersicherheitsforscher werden Dark-Web-Foren und Untergrund-Exploit-Marktplätze genau nach Beweisen für waffenfähigen Proof-of-Concept-Exploit-Code überwachen. Angesichts des immensen finanziellen Werts von Unternehmensdaten SAP entstehen automatisierte Exploit-Skripte oft innerhalb weniger Tage nach der Offenlegung am Patch Day. Systemadministratoren wird empfohlen, die ICM-Zugriffsprotokolle auf atypische HTTP-Header-Muster zu überprüfen und die Prozesserstellungsprotokolle auf zugrunde liegenden Host-Betriebssystemen auf anomale untergeordnete Prozesse zu überwachen.

## Quellen

- [BleepingComputer](https://www.bleepingcomputer.com/news/security/sap-patches-four-maximum-severity-security-vulnerabilities/)– Maßgebliche technische Berichterstattung über SAPs Patch-Day-Notizen vom November 2026, CVSS 10.0-Schwachstellenanalyse und Ratschläge zur Schadensbegrenzung für Administratoren.
- [SAP Unternehmenssoftwarearchitektur](https://en.wikipedia.org/wiki/Common_Vulnerability_Scoring_System)- Unternehmenshintergrund und technologischer Umfang von SAP Enterprise Resource Planning, NetWeaver Middleware und Supply Chain Management-Plattformen.
- [Schwachstellenmanagement und CVSS-Bewertung](https://en.wikipedia.org/wiki/Common_Vulnerability_Scoring_System)- Standardisierte Rahmen- und Schweregradbewertungsmetriken zur Bewertung technischer Angriffsvektoren, Exploit-Komplexität und Auswirkungen auf die Vertraulichkeit.

Mentions: SAP, NetWeaver AS ABAP, SAP Web Dispatcher, ICM2SHELL, Common Vulnerability Scoring System

## Sources
- [BleepingComputer](https://www.bleepingcomputer.com/news/security/sap-patches-four-maximum-severity-security-vulnerabilities/)
- [SAP Unternehmenssoftwarearchitektur](https://en.wikipedia.org/wiki/SAP)
- [Schwachstellenmanagement und CVSS-Bewertung](https://en.wikipedia.org/wiki/Common_Vulnerability_Scoring_System)