Ein nicht angemeldeter Angreifer kann mit präpariertem Netzwerkverkehr eine Speicherkorruption im Internet Communication Manager (ICM) von SAP NetWeaver AS ABAP auslösen und damit beliebigen Code ausführen – bis zur vollständigen Übernahme des SAP-Systems. Der ICM nimmt die HTTP(S)-Verbindungen des ABAP-Systems entgegen. SAP hat am Patch Day 10.11.2026 die Security Note 3778530 veröffentlicht; eine Ausnutzung ist bislang nicht bekannt.
Advisory als PDF herunterladenSAP NetWeaver AS ABAP prüft bestimmte Netzwerkeingaben, die eine interne Komponente des Internet Communication Manager verarbeitet, nicht ausreichend (CWE-1287, unzureichende Prüfung des Eingabetyps). Mit gezielt präpariertem Netzwerkverkehr lässt sich eine Speicherkorruption auslösen. Gelingt die Ausnutzung, kann der Angreifer ohne Anmeldung beliebigen Code ausführen und das System vollständig kompromittieren. Technische Details hat SAP nur in der zugangsgeschützten Note veröffentlicht.
| Komponente | Verwundbar | Fixversion |
|---|---|---|
| SAP Kernel (KERNEL) | 7.53 · 7.54 · 7.77 · 7.93 · 9.16 · 9.18 · 9.20 | SAP Note 3778530 einspielen |
| SAP Kernel Unicode (KRNL64UC) | 7.53 | SAP Note 3778530 einspielen |
Versionsangaben laut SAP-Patchday-Tabelle und CVE-Eintrag (Produkt „SAP NetWeaver AS ABAP (Internet Communication Manager)“). Die konkreten Kernel-Patch-Level stehen nur in der Note 3778530 im SAP-Support-Portal – Anmeldung erforderlich. Am selben Patch Day: Note 3778556 (CVE-2026-89126, CVSS 10,0) für den SAP Web Dispatcher – Kernel-Updates gemeinsam planen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf SAP-Systeme kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Inventar vor Patch, Exposition reduzieren, bevor Exploits erscheinen.
disp+work -v oder Transaktion SM51 → Release-Info).SMICM) aus dem Internet oder aus wenig vertrauenswürdigen Netzen erreichbar sind. Bis zum Patch den Zugriff auf das Nötige beschränken – das senkt das Risiko, schließt eine Speicherkorruption aber nicht.3778530 im SAP-Support-Portal aufrufen und den dort genannten Kernel-Patch einspielen. Exponierte Systeme zuerst. Eventuell in der Note beschriebene Behelfslösungen nur als Übergang nutzen.3778556 eine weitere Speicherkorruption (CVSS 10,0) im SAP Web Dispatcher behoben – bei Kernel-Updates beide Notes in einem Wartungsfenster bündeln.icman), Core Dumps, Einträge in dev_icmsh · bash · curl · wgetZur Einordnung: Zum Stand 10.11.2026 sind keine kampagnenbezogenen IoCs veröffentlicht – es ist keine Ausnutzung bekannt. Die genannten Punkte sind generische Hinweise für eine Speicherkorruption mit Codeausführung, keine bestätigten Angriffsmerkmale.
Wichtig: Erfahrungsgemäß folgen bei kritischen SAP-Lücken Patch-Analysen und Exploits oft innerhalb weniger Tage. Ein Angriff auf den ICM erfolgt vor jeder Anmeldung – klassische Berechtigungskontrollen im SAP-System greifen nicht. Das Zeitfenster für einen ruhigen Patch ist jetzt.
SAP Security Patch Day – November 2026 (support.sap.com, Note 3778530, Priorität Critical, CVSS 10,0, Versionen KRNL64UC 7.53, KERNEL 7.53–9.20) · NVD-Eintrag CVE-2026-76964 (Status „Received“, CVSS 3.1 von SAP als CNA, CWE-1287, Referenz me.sap.com/notes/3778530) · CVE.org-Eintrag (veröffentlicht 10.11.2026) · CISA Known Exploited Vulnerabilities Catalog (Version 2026.11.10, kein Eintrag). Sekundärquellen, ergänzend: Rescana und rz10.de (Patchday-Analysen, keine Ausnutzung/kein PoC genannt). Angaben nach bestem Wissen zum Stand 10.11.2026; Kernel-Patch-Level gegen SAP Note 3778530 abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Abstürze des ICM-Prozesses und ungewöhnliche Prozessstarts auf den SAP-Applikationsservern. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.