Am 10. November 2026 hat SAP seinen monatlichen Security Patch Day veröffentlicht: 35 neue Security Notes und vier GitHub Security Advisories. Darunter befinden sich vier Schwachstellen, die sofortige Aufmerksamkeit verdienen: Alle vier erreichen den maximal möglichen CVSS-Wert von 10.0 — und keine davon erfordert einen vorherigen Login des Angreifers.
Genau dieser letzte Punkt macht den Unterschied zu gewöhnlichem Patching aus. Die meisten Schwachstellen setzen ein gültiges Konto, einen getäuschten Benutzer oder einen anderen Zugangspunkt voraus. Diese vier nicht. Ist ein SAP-System vom Internet aus erreichbar – und das ist bei vielen der Fall, weil Finanzteams, Lieferanten oder Mitarbeitende im Homeoffice Zugriff brauchen –, kann ein Angreifer es theoretisch noch am selben Tag übernehmen, an dem die Lücke öffentlich wird.
Was genau betroffen ist
Laut The Hacker News liegen drei der vier Höchstrisiko-Lücken in SAP NetWeaver, der Plattform, auf der die meisten SAP-Systeme laufen, und eine im Web Dispatcher, der Webanfragen aus dem Internet entgegennimmt und an den Server weiterleitet. Die Lücke im Web Dispatcher könnte zusammen mit einem weiteren Problem im Internet Communication Manager (ICM), der den Webverkehr des Servers verwaltet, einem Angreifer, der die Software übers Netzwerk erreichen kann, die Ausführung von Schadcode ermöglichen.
Die vierte Höchstrisiko-Lücke, CVE-2026-120017, betrifft eine fehlende Authentifizierung im SAML2 Service Provider innerhalb von SAP NetWeaver AS ABAP und der ABAP Platform, wie Cybersecurity News berichtet. SAML2 wird häufig für Single Sign-on eingesetzt – eine Lücke an dieser Stelle kann es Angreifern erlauben, sich als legitimer Benutzer auszugeben, ganz ohne Passwort.
Zusätzlich zu diesen vier Lücken meldet CyberPress drei weitere kritische Probleme im selben Release mit einem CVSS-Wert von 9.9 — Code-Injection, OS-Command-Injection und eine fehlende Autorisierungsprüfung. Diese sind nur marginal weniger gefährlich und sollten im gleichen Durchgang behoben werden.
Warum das für Schweizer Unternehmen besonders relevant ist
SAP ist in der Schweiz kein Nischenprodukt. Es läuft als ERP-, Finanz- oder HR-System bei KMU ebenso wie bei grossen Konzernen — der Flughafen Genf etwa hat gerade angekündigt, auf SAP umzusteigen. Jede Organisation mit einer internetseitig erreichbaren SAP-Komponente — sei es ein für Fernzugriff offener Web Dispatcher, ein Lieferantenportal oder eine SSO-Login-Seite — trägt bis zur Installation dieser Notes ein Übernahmerisiko am selben Tag.
Was heute zu tun ist
- Exposition prüfen. Kontrollieren Sie, ob Ihre NetWeaver-, Web-Dispatcher- oder Gateway-Komponenten vom Internet aus erreichbar sind, direkt oder über einen Reverse Proxy.
- Die November-2026-Patches von SAP sofort einspielen, sowohl für die vier CVSS-10.0-Lücken als auch für die drei Probleme mit 9.9. Behandeln Sie dies als ausserplanmässigen Notfall-Patch, nicht als Routinewartung.
- SAML2-/SSO-Konfiguration auf NetWeaver AS ABAP gezielt prüfen — hier kann die fehlende Authentifizierung den Login vollständig umgehen.
- Firewall und Netzwerksegmentierung überprüfen, damit SAP-Anwendungsserver nicht direkt exponiert sind, wo ein Web Dispatcher oder Reverse Proxy diese Aufgabe übernehmen könnte.
- Patch-Status schriftlich bestätigen lassen durch Ihren SAP-Partner oder internen Administrator, mit Datum — nicht einfach davon ausgehen, dass es erledigt ist.
Falls Sie SAP nicht selbst betreiben, sondern ein Finanz-, Lohn- oder Logistikpartner, lohnt sich ein kurzer Anruf, um nachzufragen, ob dessen Systeme gepatcht sind. Die Gefährdung über die SAP-Umgebung eines Lieferanten ist genauso real wie die eigene.
Das grössere Bild
Solche Patch-Day-Meldungen bekommen Unternehmerinnen und Unternehmer oft erst mit, wenn es zu spät ist. Kritische Schwachstellen in weitverbreiteter Unternehmenssoftware tauchen inzwischen fast wöchentlich auf, und die Zeit zwischen Veröffentlichung und aktiver Ausnutzung wird immer kürzer. Wir verfolgen diese Entwicklungen laufend und berichten über die für Schweizer Unternehmen wichtigsten Fälle.
Wer nicht die internen Ressourcen hat, um Patch Days zu überwachen, Expositionen zu prüfen und Fixes rasch einzuspielen, findet genau dort den Mehrwert externer IT-Unterstützung. TMC (The Mejlerö Company GmbH) bietet IT-Support für KMU in Obwalden, Nidwalden, Luzern und Zürich, inklusive Netzwerk- und Sicherheitschecks, Microsoft-365-Administration und Sicherheits-Grundlagen wie Zwei-Faktor-Authentifizierung. Eine kostenlose Netzwerk-Analyse und eine kostenlose einstündige Beratung stehen zur Verfügung, wenn Sie vor dem nächsten Patch Day einen zweiten Blick auf Ihre Systeme werfen möchten.
Schweiz.