Zwanzig Sicherheitsmassnahmen, darunter zwei Critical Notes. Was betroffen ist, was sofort zu tun ist und wie sich der Monat einordnet.
Archiv · Den aktuellen Patch Day finden Sie hier.
Der SAP Security Patch Day vom 8. September 2026 brachte insgesamt 20 Sicherheitsmassnahmen (19 neue Notes und 1 Update). Mit zwei Critical-Priority-Notes und einem höchsten CVSS-Score von 10.0 bleibt die Kritikalität hoch.
Dieser Monat enthält eine kritische Schwachstelle mit CVSS 10.0 in Extended Passport Processing und eine mit CVSS 9.8 in SAP Cloud Application Programming. Eine sofortige Implementierung ist erforderlich, auch wenn bislang keine Ausnutzung in freier Wildbahn gemeldet ist.
Die Schwachstellen umfassen Remote Component Registration in Extended Passport Processing, Credential Disclosure in Cloud Application Programming sowie weitere kritische Lücken im NetWeaver Message Server.
Der Schwerpunkt liegt damit auf Infrastruktur-Komponenten — auf Bausteinen also, die in nahezu jeder Landschaft laufen.
Diese Schwachstellen — darunter die zweite CVSS 10.0 des Jahres — erfordern sofortige Aufmerksamkeit und sollten mit höchster Priorität eingespielt werden.
Ein unauthentifizierter Angreifer kann eine bösartige Komponente in die SAP-Anwendungsumgebung registrieren. Das ermöglicht unbefugten Zugriff, Systemkompromittierung und volle Kontrolle über die betroffenen Systeme. Sofort patchen.
Ein Angreifer kann über speziell konstruierte Anfragen Anmeldedaten von Multi-Tenant-Instanzen erlangen. Das ermöglicht unbefugten Zugriff auf Kundendaten und die Kompromittierung des Systems. Sofortige Mitigation und Patch-Installation erforderlich.
Der NetWeaver Message Server weist eine schwerwiegende Sicherheitslücke auf (CVSS 8.6), betroffen sind die KERNEL-Versionen 9.16 bis 9.20. Sie ermöglicht Privilege Escalation und die Kompromittierung des Systems.
Zusätzlich zu den beiden Critical Notes gibt es vier bis sechs High-Priority-Notes. Sie adressieren Themen wie Authorization Bypass, Directory Traversal, Code Injection und weitere Sicherheitslücken.
Elf bis dreizehn Notes mittlerer und niedriger Kritikalität. Bislang ist für diese Schwachstellen keine Ausnutzung in freier Wildbahn gemeldet.
September zeigt einen Wechsel. Nach dem aussergewöhnlich umfangreichen August mit 31 Massnahmen und fünf Critical Notes normalisiert sich der Umfang auf 20 Massnahmen — die Kritikalität bleibt jedoch. Dass innerhalb weniger Monate die zweite Schwachstelle mit dem Höchstwert 10.0 erscheint, zeigt, dass solche Bewertungen keine Ausnahme mehr sind. Der Schwerpunkt verschiebt sich von Commerce Cloud und MII hin zu Infrastruktur-Komponenten wie Passport Processing und Cloud-Plattformen. Das ist beides zugleich: eine Entlastung im Umfang und eine Warnung, wo künftig hingeschaut werden muss.
Prüfen Sie die genannten Notes, Versionen und Bewertungen vor jeder Entscheidung am Original im SAP Support Portal.
Wir gleichen Ihre Landschaft gegen die aktuellen Security Notes ab und sagen Ihnen konkret, welche Note in welchem System eingespielt werden sollte — priorisiert und nachvollziehbar.
Diese Übersicht fasst öffentlich verfügbare Informationen zum SAP Security Patch Day vom 8. September 2026 zusammen und ersetzt nicht die Lektüre der jeweiligen SAP Note. Angaben zu Versionen, CVE-Nummern und CVSS-Werten können sich ändern; massgeblich ist stets die Veröffentlichung im SAP Support Portal. SAP, SAP NetWeaver, SAP Web Dispatcher und weitere genannte Bezeichnungen sind Marken beziehungsweise eingetragene Marken der SAP SE in Deutschland und anderen Ländern. Die Nennung erfolgt ausschliesslich zu Beschreibungszwecken. © SAPify-Solutions GmbH.