Das SAP Gateway – die zentrale Kommunikationskomponente jedes SAP-Applikationsservers für RFC-Verbindungen – aktiviert eine Standard-Zugriffsliste mit zu hohen Rechten. Ein externer Angreifer kann dadurch als interner Applikationsserver eingestuft werden und ohne Anmeldung unbefugte Aktionen in der SAP-Umgebung ausführen. SAP bewertet die Lücke mit dem Höchstwert 10,0; eine Ausnutzung ist bislang nicht bekannt.
Advisory als PDF herunterladenLaut SAP aktiviert das Gateway eine Standard-Access-Control-List mit hohen Rechten. Diese Liste entscheidet, welche Gegenstellen als vertrauenswürdige, interne Applikationsserver gelten. Durch die zu großzügige Voreinstellung kann ein externer Angreifer als interner Applikationsserver kategorisiert werden – und erhält damit Möglichkeiten, die eigentlich nur Systemen der eigenen SAP-Landschaft zustehen. SAP ordnet die Schwäche als fehlerhafte Autorisierung ein (CWE-863).
| SAP-Kernel-Release | Verwundbar | Fixversion |
|---|---|---|
| 7.22 / 7.22EXT | KERNEL · KRNL64UC · KRNL64NUC | SAP Note 3798345 |
| 7.53 / 7.54 | KERNEL · KRNL64UC 7.53 | SAP Note 3798345 |
| 7.77 / 7.93 | KERNEL | SAP Note 3798345 |
| 8.04 | KERNEL · KRNL64UC | SAP Note 3798345 |
| 9.16 / 9.20 / 9.21 | KERNEL | SAP Note 3798345 |
Versionsangaben laut SAP-Patchday-Tabelle (10.11.2026); der CVE-Eintrag bei NVD/CVE.org führt dieselben Releases in verkürzter Form. Die konkreten Kernel-Patch-Stände stehen in der SAP Note 3798345 (Login im SAP for Me erforderlich) – eigenen Kernel-Stand je System gegen die Note abgleichen, auch für Standalone-Gateways.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf SAP-Systeme mit personenbezogenen oder geschäftskritischen Daten kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Exposition vor Patch, Patch vor Entwarnung.
SAP Note 3798345 einspielen – in der Regel über ein Kernel-Update auf den in der Note genannten Patch-Stand. Kernel-Updates erfordern einen Neustart der Instanz; Wartungsfenster entsprechend priorisieren, beginnend mit produktiven und von außen erreichbaren Systemen.reginfo, secinfo) und die Gateway-Parameter Ihrer Systeme gegen die SAP-Härtungsempfehlungen prüfen lassen – zu weit gefasste Regeln sind ein bekanntes Risiko, unabhängig von dieser CVE. Ob die Note zusätzliche Konfigurationsschritte vorsieht, ergibt sich aus der Note selbst.SMGW) auf Verbindungen von unbekannten Hosts und unerwartete Programmregistrierungen prüfen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.SMGW · Security Audit LogSM20 / RSAU_READ_LOGZur Einordnung: Für diese Schwachstelle sind keine Indikatoren veröffentlicht. Die genannten Prüfpunkte sind allgemeine Anhaltspunkte für unbefugte Gateway-Zugriffe, keine CVE-spezifischen Signaturen. Erscheinen technische Details oder ein Exploit, ändert sich die Lage schnell – SAP-Lücken dieser Klasse werden erfahrungsgemäß zügig nachgebaut.
Wichtig: Das SAP Gateway läuft auf jedem ABAP-Applikationsserver mit – es ist kein optionales Zusatzprodukt. Weil die Schwäche in einer Standardeinstellung liegt, kann jedes System mit betroffenem Kernel angreifbar sein, sofern das Gateway aus dem Netz des Angreifers erreichbar ist. Dass heute keine Ausnutzung bekannt ist, ist kein Grund, den Patch aufzuschieben.
Quellen (primär): SAP Security Patch Day – November 2026 (support.sap.com, 10.11.2026, Note 3798345, Priorität Critical, CVSS 10,0) · NVD-Eintrag CVE-2026-89103 (Status „Received“, CVSS 3.1 10,0 von SAP als CNA, CWE-863, Referenz me.sap.com/notes/3798345) · CVE.org-Record CVE-2026-89103. Sekundärquellen (Onapsis, SecurityBridge, Pathlock) lagen zum Stand 10.11.2026 noch nicht vor und wurden nicht verwendet. Stand 10.11.2026: nicht im CISA-KEV-Katalog, keine Ausnutzung und kein öffentlicher PoC bekannt. Kernel-Patch-Stände gegen die SAP Note 3798345 abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Gateway-Verbindungen und RFC-Registrierungen von Hosts außerhalb der SAP-Landschaft. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
STRUKTURELL
Solange der Dienst aus dem Internet erreichbar ist, bleibt er Ziel. Mittelfristig kann ein ZTNA-Ansatz diese Exposition verringern. Kurzfristig zählt der Patch.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.