Laut einem am Dienstag veröffentlichten Sicherheitshinweis handelt es sich um eine OAuth2-SSRF-Schwachstelle, die mandantenfähige BTP-Anwendungen betrifft: „Ein Angreifer, der den Parameter tenant_subdomain kontrolliert, kann OAuth2-Token-Anfragen auf einen vom Angreifer kontrollierten Server umleiten, wodurch Client-Anmeldedaten abfließen.“ Wer die Oktober-Patches nicht sofort einspielen kann, soll die Lücke übergangsweise entschärfen, indem er den Wert von tenant_subdomain vor jedem SDK-Aufruf gegen eine Positivliste registrierter Mandanten-Subdomains prüft.
Ebenfalls behoben wurde CVE-2026-89110, eine als kritisch eingestufte Schwachstelle durch fehlerhafte Zugriffskontrolle im SAP NetWeaver Visual Composer. Angreifer mit eingeschränkten Rechten können darüber aus der Ferne verwundbare Systeme vollständig übernehmen.
Eine weitere kritische Lücke steckt in SAP Manufacturing Integration and Intelligence (CVE-2026-89108). Angreifer mit Administratorrechten können sich darüber ein Konto mit erhöhten Rechten in der zugrunde liegenden Java-Anwendung anlegen und so administrative Kontrolle über das darunterliegende System erlangen.
SAP hatte bereits in den vergangenen Monaten mehrere Schwachstellen der höchsten Risikostufe geschlossen. Im August betraf das CVE-2026-58231 in der E-Commerce-Plattform Commerce Cloud; das Threat-Intelligence-Unternehmen Defused meldete wenige Tage nach dem Patch, dass die Lücke aktiv in Angriffen ausgenutzt werde.
Im September folgte der Fix für CVE-2026-44756, einen Speicherfehler im SAP-Kernel-Code. Die Sicherheitsforscher von Onapsis, die die Lücke gemeldet hatten, tauften sie OVERPASS. Nach ihren damaligen Schätzungen nutzen mehr als 10.000 aus dem Internet erreichbare SAP-Systeme die verwundbare Komponente und könnten dadurch angreifbar sein.
Die US-Cybersicherheitsbehörde CISA hat seit November 2021 insgesamt 14 SAP-Schwachstellen in ihren Katalog aktiv ausgenutzter Sicherheitslücken aufgenommen; drei davon wurden in Ransomware-Angriffen missbraucht.
SAP zählt nach eigenen Angaben 99 der 100 weltweit größten Unternehmen zu seinen Kunden und wies für das Geschäftsjahr 2025 einen Umsatz von mehr als 36 Milliarden Euro aus.