Ein nicht authentifizierter Angreifer kann dem SAML2-Dienst eines SAP-ABAP-Systems manipulierte Anmeldedaten vorlegen und sich als beliebiger Nutzer anmelden – bis hin zu privilegierten Konten. SAP bewertet die Lücke mit dem Höchstwert 10,0 und hat sie am Patch Day 10.11.2026 mit SAP Note 3849308 geschlossen. Eine Ausnutzung ist bislang nicht bekannt; die Lücke gilt aber als automatisierbar.
Advisory als PDF herunterladenDer SAML2 Service Provider in SAP NetWeaver AS ABAP prüft eingehende Anmelde-Assertions unter bestimmten Konfigurationen nicht ausreichend (CWE-347: fehlerhafte Prüfung einer kryptografischen Signatur). Ein Angreifer kann dadurch speziell präparierte Daten einreichen, die Authentifizierung umgehen und sich als beliebiger Nutzer ausgeben – einschließlich privilegierter Konten. Welche Konfigurationen genau betroffen sind, beschreibt SAP nur in der zugangsgeschützten Note.
| SAP_BASIS-Release | Verwundbar | Fixversion |
|---|---|---|
| 702 · 731 · 740 | SAP_BASIS 702, 731, 740 | SAP Note 3849308 |
| 750 bis 758 | SAP_BASIS 750–758 | SAP Note 3849308 |
| 816 | SAP_BASIS 816 | SAP Note 3849308 |
| 920 · 921 · 922 | SAP_BASIS 920, 921, 922 | SAP Note 3849308 |
Betroffen sind laut SAP und NVD die SAML2-Service-Provider-Komponente der genannten SAP_BASIS-Releases – angreifbar nur unter bestimmten Konfigurationen, die SAP ausschließlich in der zugangsgeschützten Note beschreibt. Korrekturanleitung bzw. Support Package je Release der Note 3849308 im SAP for Me entnehmen. Einzelne Sekundärquellen nennen abweichend nur 702–920; maßgeblich ist die SAP-Liste bis 922.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf ein SAP-System mit personenbezogenen Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Betroffenheit vor Patch, Patch vor Entwarnung.
702–922 erfassen, bei denen die SAML2-Anmeldung aktiv ist – typischerweise Fiori, SAP GUI for HTML und Web-Services mit Single Sign-on. SAML2-Konfiguration (Transaktion SAML2) je Mandant prüfen und gegen die in der Note beschriebenen Bedingungen abgleichen.3849308 per SNOTE bzw. das in der Note genannte Support Package für das eigene SAP_BASIS-Release einspielen – priorisiert auf extern erreichbaren Systemen. Am selben Patch Day hat SAP weitere Lücken mit CVSS 10,0 im NetWeaver-Stack geschlossen (u. a. ICM, Web Dispatcher, Gateway); den Patch-Zyklus gemeinsam planen.SM20 / RSAU_READ_LOG) auf SAML-Anmeldungen an privilegierten Konten, Anmeldungen aus unerwarteten Quellen und ungewöhnliche Nutzer-/Rollenänderungen seit dem 10.11.2026 auswerten. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.SM20 / RSAU_READ_LOGZur Einordnung: Es liegen keine CVE-spezifischen Indikatoren vor. Die genannten Muster sind Ansatzpunkte für eine Auswertung, keine bestätigten Signaturen – eine erfolgreiche Ausnutzung erscheint als reguläre SSO-Anmeldung.
Wichtig: Eine erfolgreiche Ausnutzung erscheint als ganz normale SSO-Anmeldung eines gültigen Nutzers – ohne Alarm. Ohne kontinuierliche Auswertung der SAP-Anmeldeprotokolle bleibt ein Zugriff unsichtbar.
SAP Security Patch Day November 2026 (support.sap.com, Note 3849308, CVSS 10,0, Priorität Critical) · NVD CVE-2026-120017 (CNA SAP, CVSS 3.1 10,0, CWE-347; NVD-Status „Received“, keine eigene NIST-Bewertung) · CVE.org-Eintrag inkl. CISA-ADP-SSVC (Exploitation: none, Automatable: yes, Technical Impact: total) · CISA Known Exploited Vulnerabilities Catalog (Stand 10.11.2026: nicht gelistet). Ergänzend, Sekundärquellen: Rescana, RedRays, ByteIota. Angaben nach bestem Wissen zum Stand 10.11.2026; Korrekturanleitung und Konfigurationsbedingungen gegen SAP Note 3849308 abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Die SSO-Anmeldung an einem privilegierten SAP-Konto aus ungewöhnlicher Quelle. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.