21 Security Notes, darunter drei HotNews mit CVSS bis 9.9 – dazu ein kritisches Advisory für das SAP Cloud SDK for Python. Was betroffen ist und was sofort zu tun ist.
Archiv · Den aktuellen Patch Day finden Sie hier.
Der SAP Security Patch Day vom 13. Oktober 2026 brachte 21 neue und aktualisierte Security Notes (17 neue, 4 Updates): 3 HotNews, 4 High, 13 Medium und 1 Low. Zusätzlich hat SAP am selben Tag ein Security Advisory für das SAP Cloud SDK for Python mit CVSS 10.0 veröffentlicht, das nicht als SAP Note gezählt wird.
Zwei HotNews-Notes mit CVSS 9.9 betreffen SAP S/4HANA (Code Injection) und SAP NetWeaver Visual Composer (Broken Access Control), eine dritte mit CVSS 9.1 SAP Manufacturing Integration and Intelligence. Wer das SAP Cloud SDK for Python in Multi-Tenant-Anwendungen auf SAP BTP nutzt, sollte zudem sofort auf Version 0.45.2 aktualisieren (CVSS 10.0).
Die HotNews-Notes betreffen Code Injection in SAP S/4HANA, fehlende Zugriffskontrolle im NetWeaver Visual Composer und eine fehlende Berechtigungsprüfung in SAP MII.
Neu ist der Blick auf die Entwicklerseite: Das kritischste Problem des Monats steckt nicht in einer klassischen SAP-Komponente, sondern im SAP Cloud SDK for Python für eigene BTP-Anwendungen.
Diese Schwachstellen erfordern sofortige Aufmerksamkeit und sollten mit höchster Priorität eingespielt bzw. aktualisiert werden.
In Multi-Tenant-Anwendungen auf SAP BTP kann ein Angreifer, der den Parameter tenant_subdomain kontrolliert, OAuth2-Token-Anfragen auf einen eigenen Server umleiten und so Client-Credentials erbeuten. Auf 0.45.2 aktualisieren. Übergangsweise tenant_subdomain gegen eine Allowlist bekannter Tenants prüfen.
Eine Code-Injection-Schwachstelle in der Verwaltung von Substitutions- und Validierungsregeln. Als temporärer Workaround kann der betroffene OData-Service deaktiviert werden – damit lassen sich in den zugehörigen Fiori-Apps allerdings keine Regeln mehr anlegen, ändern oder löschen. Sofort patchen.
Der Patch aktiviert standardmässig eine sichere Allowlist-Konfiguration. Diese kann laut Onapsis gemäss FAQ-Note 3797831 auch manuell aktiviert werden, bevor der definitive Patch eingespielt ist.
Eine fehlende Berechtigungsprüfung im Configuration Service. Ein erfolgreicher Angriff kann administrativen Zugriff auf den zugrunde liegenden Java-Applikationsserver ermöglichen. Zeitnah patchen.
Nach dem Patch muss SAP Commerce Cloud neu gebaut und deployt werden. Übergangsweise können die betroffenen Eingabeparameter deaktiviert werden, womit auch die zugehörige Sortierfunktion entfällt.
Neben Commerce Cloud betreffen die High-Notes den Internet Communication Manager von NetWeaver und Web Dispatcher (Memory Corruption, CVSS 7.5, nur bei aktiviertem HTTP/2), SAP S/4HANA Manage Supply Protection (Denial of Service, CVSS 7.5, Update) und die SAP ABAP Platform (Missing Authorization Check, CVSS 7.1, mit Kernel-Patch).
Dreizehn Notes mittlerer und eine Note niedriger Kritikalität. Sie sollten im regulären Wartungszyklus eingeplant werden.
Der Umfang bleibt stabil, die Kritikalität steigt. Mit 21 Notes liegt der Oktober fast gleichauf mit dem September, bringt aber drei statt zwei HotNews-Notes. Zum dritten Mal innerhalb weniger Monate erscheint eine Schwachstelle mit dem Höchstwert 10.0 – diesmal im SAP Cloud SDK for Python. Wie schon im September beim Cloud Application Programming Model betrifft das kritischste Thema Werkzeuge für eigene Cloud-Entwicklungen. Wer eigene BTP-Anwendungen betreibt, muss deren Abhängigkeiten ebenso konsequent patchen wie das ABAP-System.
Prüfen Sie die genannten Notes, Versionen und Bewertungen vor jeder Entscheidung am Original im SAP Support Portal.
Wir gleichen Ihre Landschaft gegen die aktuellen Security Notes ab und sagen Ihnen konkret, welche Note in welchem System eingespielt werden sollte — priorisiert und nachvollziehbar.
Diese Übersicht fasst öffentlich verfügbare Informationen zum SAP Security Patch Day vom 13. Oktober 2026 zusammen und ersetzt nicht die Lektüre der jeweiligen SAP Note. Angaben zu Versionen, CVE-Nummern und CVSS-Werten können sich ändern; massgeblich ist stets die Veröffentlichung im SAP Support Portal. SAP, SAP S/4HANA, SAP NetWeaver, SAP Web Dispatcher, SAP Commerce Cloud, SAP BTP und weitere genannte Bezeichnungen sind Marken beziehungsweise eingetragene Marken der SAP SE in Deutschland und anderen Ländern. Die Nennung erfolgt ausschliesslich zu Beschreibungszwecken. © SAPify-Solutions GmbH.