Remediate OVERPASS (CVE-2026-44756), a critical pre-authentication SAP kernel vulnerability reachable over several SAP communication protocols. Read the step-by-step guide.

Jetzt patchen: Die Schwachstelle S4GET betrifft SAP-Kunden. Vollständige Kontrolle über Systeme möglich.

On September 8, 2026, SAP patched CVE-2026-58240, a pre-authentication vulnerability in the Message Server that enables unauthenticated RCE as sidadm over the same public port used by SAP GUI clients.

9. syyskuuta 2026 SAP julkaisi osana syyskuun Security Patch Day -päivitystä tietoturvailmoituksia, jotka käsittelevät kahta kriittistä haavoittuvuutta, jotka vaikuttavat laajaan valikoimaan SAP-tuotteita. Vakavimpia on CVE-2026-44756 (CVSS 10.0), muistinhallintahaavoittuvuus SAP Extended Passport (EPP) -käsittelyssä, jonka Onapsis Research Labs (ORL) on antanut lempinimellä "OVERPASS" ja jonka se löysi sekä paljasti vastuullisesti. Toinen on CVE-2026-58240 (CVSS 9.8), jonka lempinimi on "S4GET", puuttuva todentamistarkistus SAP NetWeaver Message Serverissa. Molemmat ovat etäyhteyden kautta hyödynnettävissä ilman todentamista. Raportoivien tutkijoiden mukaan kumman tahansa onnistunut hyödyntäminen voi johtaa mielivaltaisten käyttöjärjestelmän komentojen suorittamiseen SAP-asennuksen omistajan tunnuksella, mikä johtaa vaikuttuvan järjestelmän ja sen sisältämien liiketoimintatietojen täydelliseen vaarantumiseen. CERT-EU suosittelee vahvasti soveltamista

SAP’s September 2026 security updates fix 20 vulnerabilities, including CVE-2026-44756 (OVERPASS), a maximum-severity SAP Kernel memory corruption flaw that can let attackers run commands with administrative privileges and fully compromise SAP hosts. SAP also patched CVE-2026-58240 (S4GET) in the NetWeaver Message Server, a missing-authentication flaw that can expose entire SAP clusters to remote code execution. #CVE-2026-44756 #OVERPASS #CVE-2026-58240 #S4GET #SAPKernel #SAPNetWeaver #SAPICM