Was passiert, wenn die zentrale E-Commerce-Plattform eines Großkonzerns über eine fehlerhafte Standard-Autorisierung aus dem Internet heraus vollständig übernommen werden kann? Der SAP Security Patch Day vom 11. August 2026 liefert genau diese Antwort: 28 neue Security Notes, darunter CVE-2026-58231 in SAP Commerce Cloud mit einem maximalen CVSS-Base-Score von 10.0. Unternehmen, die COM_CLOUD 2211 oder 2211-JDK21 einsetzen, müssen sofort handeln, denn die Lücke erlaubt es einem nicht authentifizierten Angreifer, beliebigen Code auszuführen und damit Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung zu gefährden.

Der August-Patchday im Überblick

SAP hat am 11. August 2026 seinen monatlichen Security Patch Day veröffentlicht und dabei 28 neue Security Notes sowie ein GitHub Security Advisory freigegeben. Zusätzlich wurden zwei bereits bekannte Notes aktualisiert. Das zeigt, dass der Hersteller sein Patch-Rhythmus-Modell konsequent fortsetzt und kritische Schwachstellen schnell adressiert. Die wichtigsten Kennzahlen auf einen Blick:

Warum Unternehmen jetzt priorisieren müssen

SAP-Systeme steuern Finanzprozesse, Supply Chain und Fertigungsabläufe in vielen DAX- und MDAX-Unternehmen. Eine einzelne kritische Lücke in der Commerce Cloud kann deshalb nicht nur den Webshop lahmlegen, sondern über gekoppelte Backend-Systeme tiefe Schäden im gesamten SAP-Landscape verursachen. Der hohe Anteil an Code-Injection- und Speicherfehler-Schwachstellen zeigt zudem, dass Angriffe auf die Anwendungsebene weiterhin die dominierende Bedrohung sind.

Auswirkungen auf deutsche Unternehmen

Deutsche Unternehmen zählen weltweit zu den größten SAP-Nutzern. Viele Mittelständler setzen SAP Commerce Cloud als Frontend für B2B- und B2C-Vertrieb ein, während Großunternehmen MII in der Produktion nutzen. Eine vollständige Kompromittierung der Commerce Cloud kann deshalb nicht nur zum Datenverlust führen, sondern auch regulatorische Meldepflichten nach NIS2 oder DSGVO auslösen. Die hohe Verbreitung macht die Schwachstelle zum Massenphänomen, das schnellstmöglich behoben werden muss.

SAP-Patch-Release-Zyklus und Verlässlichkeit

SAP veröffentlicht seine Security Notes traditionell am zweiten Dienstag eines Monats. Der August-Patchday 2026 hält diesen Rhythmus ein und bündelt gleich mehrere hochkritische Schwachstellen. Für IT-Abteilungen bedeutet das, dass das regelmäßige Testen und Einspielen der Security Notes in einem definierten Zeitfenster erfolgen muss. Unternehmen, die ein separates SAP-Change-Management betreiben, sollten den Patchday in ihre Wartungsfenster integrieren und kritische Notes außer der Reihe behandeln dürfen.

CVE-2026-58231: Der perfekte CVSS-Score

CVE-2026-58231 ist die mit Abstand schwerwiegende Schwachstelle des Monats. Sie betrifft den Data Hub Adapter der SAP Commerce Cloud in den Versionen COM_CLOUD 2211 und 2211-JDK21. Laut NVD erlaubt sie einem nicht authentifizierten, entfernten Angreifer, einen Standard-Authentifizierungs-Client zu missbrauchen und speziell präparierte Eingaben an Funktionen zu senden, die keine ausreichende Validierung durchführen. Eine erfolgreiche Ausnutzung führt zu beliebiger Codeausführung und gefährdet damit alle drei Schutzziele der Anwendung.

Die Schwachstelle ist technisch als Improper Authorization eingestuft, liegt aber dicht an Code-Injection-Kategorien, da der Angreifer über die missbräuchlich nutzbare Autorisierung beliebige Befehle einschleusen kann. Die Angriffsfläche wird dadurch besonders groß, dass keine gültigen Anmeldedaten erforderlich sind. Ein Angreifer muss lediglich den betroffenen Endpunkt erreichen können.

Die betroffenen Versionen COM_CLOUD 2211 und COM_CLOUD 2211-JDK21 werden in vielen aktuellen Commerce-Cloud-Projekten eingesetzt, die in den letzten zwei bis drei Jahren live gegangen sind. Unternehmen, die noch auf diese Versionen unterstützt werden, sollten prüfen, ob der Data Hub Adapter aktiv genutzt wird und ob externe Schnittstellen davon erreichbar sind. Selbst intern erreichbare Instanzen sind gefährdet, sobald ein Angreifer einen Fuß im Netzwerk hat.

Was der CVSS-Wert praktisch bedeutet

Ein CVSS-Base-Score von 10.0 ist die höchstmögliche Bewertung. Sie signalisiert eine einfach ausnutzbare Lücke ohne erforderliche Benutzerinteraktion und ohne erforderliche Vorab-Rechte, die über das Netzwerk erreichbar ist. Für Unternehmen bedeutet das: Jede öffentlich erreichbare SAP Commerce Cloud-Instanz mit den genannten Versionen ist ein potenzielles Einfallstor, solange der Patch nicht eingespielt ist. Die Kombination aus fehlender Authentifizierung und beliebiger Codeausführung macht die Schwachstelle besonders attraktiv für automatisierte Scanner und Angreifer.

Verifikation über NVD und CVE.org

Die National Vulnerability Database bestätigt die Bewertung von CVE-2026-58231 mit einem CVSS v3.1 Base Score von 10.0 und der Schweregradkategorie CRITICAL. Der offizielle CVE-Eintrag verweist auf SAP Security Note 3771065. Unternehmen sollten sowohl die NVD als auch das SAP Support Portal als primäre Informationsquellen nutzen, um falsche Versionen und Workarounds auszuschließen.

Weitere kritische Schwachstellen im August

Neben CVE-2026-58231 enthält der Patchday drei weitere Notes mit kritischem Schweregrad, die Admins kennen sollten. Zwei davon betreffen SAP Manufacturing Integration and Intelligence (MII), die dritte den ABAP-Kernel von SAP NetWeaver. Alle drei ermöglichen unter bestimmten Bedingungen Codeausführung oder Speichermanipulation.

Die MII-Schwachstellen im Detail

SAP Manufacturing Integration and Intelligence dient als Brücke zwischen Fertigungsmaschinen und SAP ERP. Die Versionen XMII 15.4 und 15.5 sowie die Admin-Komponenten MII_ADMIN 15.4 und 15.5 sind von CVE-2026-44772 und CVE-2026-44758 betroffen. Beide Lücken ermöglichen die Injektion von Code, wobei CVE-2026-44772 mit 9.9 besonders hoch bewertet ist. Wer in der Fertigung MII einsetzt, sollte die Notes 3765948 und 3758900 sofort testen und einspielen.

ABAP-Kernel: Memory Corruption mit Netzwerkzugriff

CVE-2026-34265 betrifft den Application Server ABAP für SAP NetWeaver und ABAP Platform. Betroffen sind zahlreiche Kernel-Versionen von KRNL64NUC 7.22 bis KERNEL 9.19. Die Speicherverfälschung kann nach erfolgreicher Ausnutzung zur Codeausführung führen. Die Schwere zeigt sich darin, dass der Netzwerkzugriff ausreicht und keine komplexe lokale Vorbereitung notwendig ist.

Mittlere und hohe Risiken: Das vollständige Bild

Nicht jede Schwachstelle erreicht den kritischen Bereich, doch auch die Notes mit hohem und mittlerem Risiko können in der Summe erhebliche Schäden verursachen. Besonders interessant für deutsche Unternehmen sind die Notes, die BusinessObjects, Commerce Cloud in öffentlichen Cloud-Deployments und den SAP Business AI Platform Approuter betreffen.

Der Approuter bekommt eine Sammelnote

Die SAP Business AI Platform (Approuter) erhält mit Note 3786038 gleich elf neue CVEs, darunter CVE-2026-58230 und zehn weitere als zusätzliche CVEs. Die Sammelbewertung liegt bei 7.0. Für Kunden, die SAP BTP und KI-Services nutzen, ist diese Note besonders relevant, weil Approuter-Konfigurationen häufig öffentlich erreichbar sind und Fehlkonfigurationen schnell zu Datenschutzvorfällen führen können.

BusinessObjects und Commerce Cloud in öffentlichen Clouds

CVE-2026-42945 ist ein potenzieller Buffer Overflow in SAP Commerce Cloud, der bei öffentlichen Cloud-Deployments mit NGINX auftritt. Die Note 3773203 betrifft COM_CLOUD 2211 und DHUB_CLOUD 2211. Parallel dazu warnen die Notes 3770868 und 3757815 vor Problemen mit Apache Log4j Core und der Bouncy Castle Java Library. Beide betreffen wiederum die Commerce Cloud und zeigen, dass Drittanbieter-Bibliotheken weiterhin ein wichtiger Angriffsvektor bleiben.

Patch-Strategie und Priorisierung

Ein SAP-Landschaft besteht selten aus einem einzelnen System. Deshalb ist eine klare Priorisierung notwendig, um das Patchday-Volumen beherrschbar zu machen. SAP empfiehlt, die Security Notes nach Schweregrad und Netzwerkexponierung zu priorisieren. Unternehmen sollten zunächst alle kritischen Notes einspielen, dann die mit hohem Risiko und anschließend die systemrelevanten mittleren Notes.

Empfohlene Reihenfolge für Admins

Die folgende Reihenfolge hat sich in der Praxis bewährt und reduziert das Zeitfenster für erfolgreiche Angriffe auf das Minimum. Sie kombiniert die offizielle SAP-Empfehlung mit operativen Erfahrungen aus Security-Teams.

1. CVE-2026-58231 (Commerce Cloud, CVSS 10.0) sofort patchen.
2. CVE-2026-44772 (MII, CVSS 9.9) und CVE-2026-34265 (NetWeaver, CVSS 9.8) innerhalb von 24 bis 48 Stunden testen.
3. Alle weiteren kritischen und hohen Notes in der darauffolgenden Woche behandeln.
4. Notfall-Kompensationsmaßnahmen prüfen, falls ein sofortiges Einspielen nicht möglich ist.
5. Patch-Stand in einem zentralen Vulnerability-Management-System dokumentieren.

Kompensationsmaßnahmen als Brückenlösung

SAP stellt für viele Notes Workarounds oder Konfigurationsanpassungen bereit, die das Risiko bis zum vollständigen Patch senken können. Dazu gehören beispielsweise der deaktivierte Zugriff auf bestimmte Endpunkte, Netzwerksegmentierung oder die Deaktivierung nicht benötigter Funktionen. Diese Maßnahmen ersetzen jedoch kein reguläres Update und sollten nur als Übergangslösung genutzt werden.

Patching in großen SAP-Landschaften

Große SAP-Landschaften bestehen aus Entwicklungs-, Qualitäts- und Produktivsystemen. Ein typischer Patch-Prozess beginnt mit der Implementierung der SAP Note im Entwicklungssystem, gefolgt von einem Transport in die Qualitätssicherung und anschließend in die Produktion. Für CVE-2026-58231 kann dieser Prozess mehrere Tage dauern. Unternehmen sollten prüfen, ob sie beschleunigte Transportwege für kritische Security Notes definiert haben und ob Change-Advisory-Boards an Wochenenden tagen können.

Rollback-Planung und Testabdeckung

Vor dem Einspielen kritischer Notes sollten Administratoren einen Rollback-Plan bereithalten. Das beinhaltet das Anlegen eines System-Backups, das Dokumentieren der aktuellen Kernel-Versionen und das Testen der wichtigsten Geschäftsprozesse nach dem Patch. Bei Commerce Cloud empfiehlt sich ein kurzer Smoke-Test des Checkout-Prozesses, während bei MII die Kommunikation zu Maschinensteuerungen überprüft werden muss. Eine geringe Testabdeckung erhöht das Risiko, dass ein funktionaler Fehler übersehen wird und der Patch zurückgenommen werden muss.

Überwachung und Erkennung von Angriffen

Bislang liegen keine öffentlichen Proof-of-Concepts oder bestätigten In-the-Wild-Ausnutzungen für die August-Notes vor. Dennoch ist es wahrscheinlich, dass Angreifer die Patches analysieren und aus den Diffs Exploits ableiten. Unternehmen sollten deshalb ihre Monitoring-Systeme verstärken, sobald die Patches verfügbar sind.

IOC-Szenarien und Log-Analyse

Bei CVE-2026-58231 sollten Security-Teams verdächtige Aufrufe gegen den Data-Hub-Adapter der Commerce Cloud überwachen. Auffällig sind unerwartete Authentifizierungsversuche, Aufrufe unbekannter Endpunkte und Abweichungen in der Größe oder Struktur eingehender Requests. Für MII- und ABAP-Systeme empfiehlt sich die Auswertung von ABAP-Logs, Web-Dispatcher-Logs und Netzwerk-Flow-Daten auf ungewöhnliche Codeausführungsmuster.

Integration in SIEM und Patch-Ticketing

Moderne SIEM-Systeme können die SAP-Logs über den SAP Security Audit Log oder entsprechende Connectoren einlesen. Unternehmen sollten Alarme auf Anomalien in privilegierten Transaktionen und auf extern erreichbaren Schnittstellen konfigurieren. Parallel dazu ist es sinnvoll, jedes SAP Patchday-Ticket mit dem CVSS-Score, der betroffenen Instanz und dem geplanten Einspieldatum zu versehen, um den Fortschritt messbar zu machen.

Fazit und Handlungsempfehlung

Der SAP Security Patch Day August 2026 ist einer der schwereren Monate des Jahres. CVE-2026-58231 in SAP Commerce Cloud mit einem CVSS-Base-Score von 10.0 dominiert das Release und erfordert sofortiges Handeln. Dazu kommen kritische Code-Injection-Schwachstellen in MII und eine Speicherverfälschung im ABAP-Kernel. Unternehmen sollten ihre SAP-Landschaft inventarisieren, die betroffenen Versionen identifizieren und die Patches nach der priorisierten Reihenfolge einspielen. Wer keine sofortige Aktualisierung vornehmen kann, muss zumindest Kompensationsmaßnahmen implementieren und das Monitoring verschärfen.

Als Faustregel gilt: Jede Instanz, die aus dem Internet oder aus einem breit zugänglichen Unternehmensnetz erreichbar ist und die betroffenen SAP-Versionen einsetzt, muss innerhalb der nächsten 72 Stunden gepatcht oder abgesichert werden. Alles andere ist ein unverhältnismäßiges Restrisiko, das bei einem CVSS-10.0-Lücke nicht mehr vertretbar ist. Administratoren sollten zudem den Patch-Stand zentral erfassen und dem Management transparent berichten, damit Ressourcen für kritische Wartungsfenster freigegeben werden können.

Weitere aktuelle Analysen zu kritischen Sicherheitslücken finden Sie in unseren Artikeln zu Metabase Zero-Day SQL Injection, zum Microsoft Patch Tuesday August 2026 und zur SharePoint RCE-Lücke CVE-2026-45659. SAP-Teams, die tiefer in Enterprise-Security einsteigen wollen, sollten auch unseren Beitrag zu CISAs KEV-Einträgen für Cisco ASA/FTD lesen.

Quellen: SAP Security Patch Day August 2026, NVD CVE-2026-58231, SecurityOnline.info, CVE.org CVE-2026-58231.