Ein nicht angemeldeter Angreifer kann mit präpariertem Netzwerkverkehr einen Heap-Überlauf im SAP Web Dispatcher auslösen und damit beliebigen Code ausführen – bis zur vollständigen Übernahme des Systems. Der Web Dispatcher steht häufig als Eingangstor direkt vor der SAP-Landschaft und ist aus dem Internet erreichbar. SAP hat am Patch Day 10.11.2026 die Security Note 3778556 veröffentlicht; eine Ausnutzung ist bislang nicht bekannt.
Advisory als PDF herunterladenDer SAP Web Dispatcher prüft bestimmte Netzwerkeingaben, die eine interne Komponente verarbeitet, nicht ausreichend. Mit gezielt präpariertem Netzwerkverkehr lässt sich ein Heap-basierter Pufferüberlauf (CWE-122) auslösen. Gelingt die Ausnutzung, kann der Angreifer ohne Anmeldung beliebigen Code ausführen und das System vollständig kompromittieren. Technische Details hat SAP nur in der zugangsgeschützten Note veröffentlicht.
| Komponente | Verwundbar | Fixversion |
|---|---|---|
| SAP Web Dispatcher (WEBDISP) | 7.53 | SAP Note 3778556 einspielen |
| SAP Kernel (KERNEL / KRNL64UC) | 7.53 · 7.54 · 7.77 · 7.93 · 9.16 · 9.18 · 9.20 | SAP Note 3778556 einspielen |
| SAP HANA (HDB) | 2.00 | SAP Note 3778556 einspielen |
| XS Advanced Runtime | 1.00 | SAP Note 3778556 einspielen |
| SAP Extended App Services | 1 | SAP Note 3778556 einspielen |
Versionsangaben laut SAP-Patchday-Tabelle und CVE-Eintrag. Die konkreten Patch-Level (Web-Dispatcher- bzw. Kernel-Patch) stehen nur in der Note 3778556 im SAP-Support-Portal – Anmeldung erforderlich. Auch eingebettete Web Dispatcher in HANA und XS Advanced prüfen. Am selben Patch Day: Note 3778530 (CVE-2026-76964, CVSS 10,0) für den ICM des AS ABAP – gemeinsam bewerten.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf SAP-Systeme kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Inventar vor Patch, Exposition reduzieren, bevor Exploits erscheinen.
sapwebdisp -v bzw. die Web-Administrationsoberfläche).3778556 im SAP-Support-Portal aufrufen und den dort genannten Web-Dispatcher- bzw. Kernel-Patch einspielen. Exponierte Instanzen zuerst. Eventuell in der Note beschriebene Behelfslösungen nur als Übergang nutzen.3778530 eine weitere Speicherkorruption (CVSS 10,0) im ICM des AS ABAP behoben – bei Kernel-Updates beide Notes in einem Wartungsfenster bündeln.sapwebdisp, Core Dumpssh · bash · curl · wgetZur Einordnung: Zum Stand 10.11.2026 sind keine kampagnenbezogenen IoCs veröffentlicht – es ist keine Ausnutzung bekannt. Die genannten Punkte sind generische Hinweise für eine Speicherkorruption mit Codeausführung, keine bestätigten Angriffsmerkmale.
Wichtig: CISA stuft die Ausnutzung als automatisierbar ein. Erfahrungsgemäß folgen bei kritischen SAP-Lücken Analysen der Patches und Exploits oft innerhalb weniger Tage – das Zeitfenster für einen ruhigen Patch ist jetzt.
SAP Security Patch Day – November 2026 (support.sap.com, Note 3778556, Priorität Critical, CVSS 10,0) · NVD-Eintrag CVE-2026-89126 (Status „Received“, CVSS 3.1 von SAP als CNA, CWE-122, Referenz me.sap.com/notes/3778556) · CVE.org-Eintrag inkl. CISA-ADP-Einschätzung (Exploitation: none, Automatable: yes, Technical Impact: total). Sekundärquellen lagen zum Stand nicht vor. Angaben nach bestem Wissen zum Stand 10.11.2026; Patch-Level gegen SAP Note 3778556 abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Abstürze des Web-Dispatcher-Prozesses und ungewöhnliche Prozessstarts auf dem Web-Dispatcher-Host. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.