SAP-Patchday November 2026: Handlungsempfehlungen für IT-Verantwortliche

SAP-Patchday November 2026: Handlungsempfehlungen für IT-Verantwortliche

Was ist passiert

Am 10. November 2026 hat SAP seinen monatlichen Patchday abgehalten und dabei insgesamt 35 Sicherheitsnotizen veröffentlicht. Unter den korrigierten Fehlern befinden sich neun Schwachstellen, die als kritisch eingestuft wurden. Vier dieser Lücken erreichen nach der CVSS-Bewertung den Maximalwert von 10.0 – ein Signal dafür, dass Angreifer sie mit hohem Missbrauchspotenzial ausnutzen können.

Betroffen sind zentrale Komponenten wie der Internet Communication Manager im NetWeaver AS ABAP, der SAP Web Dispatcher, der SAP Gateway sowie der SAML2 Service Provider auf der ABAP-Plattform. Weitere kritische Lücken betreffen den SAP Host Agent, die BusinessObjects Business Intelligence Platform und das ABAP Application Server. Die Fehlerkategorien reichen von Code-Injection-Schwachstellen bis zu Speicherkorrumpierung im Produktionscode.

Fünf konkrete Handlungsempfehlungen

1. Systemlandschaft sofort inventarisieren: Listen Sie alle SAP-Systeme auf, die öffentlich oder im Firmennetz exponiert erreichbar sind – insbesondere NetWeaver AS ABAP, Web Dispatcher, Gateway, BusinessObjects und den SAP Host Agent. Prüfen Sie zusätzlich interne Testsysteme und Mandanten, die oft außer Sichtweite verwaltet werden. Jeder nicht erfasste Server bleibt eine potenzielle Eintrittsbrücke.

2. SAP Notes prüfen und Prioritäten festlegen: Rufen Sie im SAP Support Portal die Liste der 35 Sicherheitsnotizen des November 2026 auf. Konzentrieren Sie sich zunächst auf die vier Schwachstellen mit CVSS 10.0 (CVE-2026-76964, CVE-2026-89126, CVE-2026-89103, CVE-2026-120017) sowie auf die weiteren fünf kritischen Lücken (CVE-2026-109803, CVE-2026-76965, CVE-2026-109795, CVE-2026-89119, CVE-2026-120014, CVE-2026-109798). Für jedes betroffene Produkt sollte ein Ansprechpartner benannt sein.

3. Updates zeitnah einspielen oder absichern: Installieren Sie die Patches auf allen öffentlich exponierten Systemen innerhalb der nächsten drei Werktage. Falls ein direkter Update-Zeitpunkt nicht möglich ist, setzen Sie temporäre Absicherungen um: schränken Sie Web Dispatcher und Internet Communication Manager hinter einer Firewall-WAF ein, deaktivieren Sie nicht benötigte SAML2-Dienste und beschränken Sie den Gateway-Zugriff auf bekannte IP-Adressen.

4. Monitoring auf Anomalien verstärken: Aktivieren Sie erweiterte Logging-Levels für den Internet Communication Manager und den Web Dispatcher. Überwachen Sie ungewöhnliche POST- und GET-Requests an unbekannte Endpunkte, fehlgeschlagene Authentifizierungsversuche aus seltenen IP-Räumen und unerwartete Java- oder ABAP-Ausnahmen. Melden Sie Auffälligkeiten automatisch an das SOC oder die verantwortliche IT-Priorisierung.

5. Externe SAP-Dienstleister einbinden: Wenn Ihr Unternehmen SAP über einen Managed-Service-Anbieter oder einen regionalen Dienstleister betreibt, fordern Sie schriftlich den Installationszeitplan der Sicherheitspatches an. Vereinbaren Sie einen Verantwortungsplan: wer patched wann, wer prüft das Ergebnis, wer dokumentiert es? Dokumentierte Compliance ist für KMU und Kommunen ebenso wichtig wie der technische Patch selbst.

Was tun, wenn Ihre Systeme bereits kompromittiert wurden

1. Isolieren: Trennen Sie das betroffene SAP-System vom Netz, aber fahren Sie den Server nicht herunter, um forensische Indizien zu erhalten. Schalten Sie stattdessen nur die Netzwerk-Schnittstelle ab, damit laufende Prozesse und Speicherabbilder erhalten bleiben.

2. Log-Sicherung: Sichern Sie sofort die Zugriffslogs (access.log, error.log) sowie die SAP-Kernel-Protokolle. Notieren Sie Timestamps, verdächtige Sessions und ungewöhnliche Benutzerkonten, die in den letzten Wochen aktiv waren. Diese Daten bilden die Grundlage für die Forensik.

3. Eskalation: Informieren Sie innerhalb von 24 Stunden die zuständige IT-Leitung und, falls vorhanden, das interne Security Operations Center. Bei Verdacht auf Datenabfluss melden Sie den Vorfall auch dem Bundesamt für Sicherheit in der Informationstechnik (BSI) – insbesondere bei Betroffenen aus kritischen Infrastrukturen.

4. Root-Cause analysieren: Bestimmen Sie anhand der Logs, welche CVE-Kategorie (Code-Injection oder Speicherkorrumpierung) vermutlich ausgenutzt wurde. Dokumentieren Sie den Angriffsweg, die verwendete Exploit-Methode und den Zeitraum der Kompromittierung. Nur so lässt sich vermeiden, dass ähnliche Angriffe über andere Schnittstellen wiederholen.

5. Bereinigung: Stellen Sie das System aus einem sauberen Backup wieder her, bevor Sie den neuesten Patch einspielen. Ein reiner Patch entfernt keine persistierende Schadsoftware, Backdoors oder modifizierte Tabelleninhalte.

Die nächsten 30 Tage

Woche 1 – Sofortmaßnahmen: Inventarisieren Sie alle SAP-Installationen, notieren Sie Versionen und Betriebszustände. Identifizieren Sie alle Produkte, die in den vier CVSS-10-Lücken genannt sind, und patchen Sie diese prioritär. Fordern Sie vom externen SAP-Dienstleister einen verbindlichen Installationsplan.

Woche 2: Aktivieren Sie das erweiterte Logging auf Web Dispatcher, IC Manager und Gateway. Setzen Sie eine automatisierte Alerting-Regel für verdächtige HTTP-Fehler und Login-Anomalien. Prüfen Sie die Zugangsrechte aller privilegierten SAP-Benutzer auf ihre Rechtmäßigkeit.

Woche 3–4: Dokumentieren Sie alle durchgeführten Patches und Wartungsfenster in Ihrem Incident-Management-System. Schließen Sie eine kurze Schulung zum neuen Monitoring für das IT-Team ab. Nehmen Sie die SAP-November-2026-Sicherheitsnotizen als Referenz in Ihre interne Wissensdatenbank auf, damit bei künftigen Patchdays die gleichen Prozesse schnell ablaufen.

Quellen

heise online: SAP-Patchday bringt Korrekturen für Codeschmuggel-Lücken (10.11.2026)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.