Ein CVSS-Score von 9,9 — das ist nahezu das Maximum auf der Schwachstellen-Skala. SAPs April-Patch-Day hat eine SQL-Injection-Lücke ans Licht gebracht, die Unternehmenskunden weltweit zum sofortigen Handeln zwingt. Und das, während die Aktie gerade erst ein neues 52-Wochen-Tief markiert hat.
Kritischste Lücke betrifft BPC und BW
Die Schwachstelle CVE-2026-27681 steckt im ABAP-Programm von Business Planning and Consolidation sowie Business Warehouse. Ein Nutzer mit niedrigen Berechtigungen kann darüber eine Datei mit beliebigen SQL-Anweisungen hochladen — und diese werden ausgeführt. Datendiebstahl, Berichtsmanipulation, Datenbankkorruption: Das Schadenspotenzial ist erheblich.
SAP schließt die Lücke durch Sicherheitshinweis Nr. 3719353, der den ausführbaren Code im betroffenen Programm vollständig deaktiviert. Als Übergangslösung empfiehlt SAP, das S_GUI-Autorisierungsobjekt für Upload-Rechte zu entziehen — allerdings mit möglichen Nebenwirkungen in anderen Anwendungen. Der direkte Patch ist daher die klare Empfehlung.
Sollten Anleger sofort verkaufen? Oder lohnt sich doch der Einstieg bei SAP?
Bekannte aktive Ausnutzung meldet SAP für keine der behobenen Lücken. Das ändert nichts an der Dringlichkeit.
S/4HANA und ERP ebenfalls betroffen
Neben der SQL-Injection-Lücke adressiert SAP mit CVE-2026-34256 eine fehlende Autorisierungsprüfung in SAP ERP und S/4HANA. Angreifer könnten damit ABAP-Programme ausführen und bestehende ausführbare Programme überschreiben — ein potenzieller Einstiegspunkt für manipulierte Geschäftslogik oder eingeschleuste Hintertüren in Kernprozesse.
Sollten Anleger sofort verkaufen? Oder lohnt sich doch der Einstieg bei SAP?
Insgesamt umfasst der April-Patch-Day 22 Sicherheitshinweise: ein HotNews-Hinweis, zwei hochprioritäre Hinweise und 16 mittelschwere Patches. Hinzu kommen zwei Code-Injection-Lücken in NetWeaver und Landscape Transformation — formal niedriger eingestuft, historisch aber als Einstiegspunkte für größere Angriffsketten bekannt.
Quartalszahlen am 23. April
Für die Aktie selbst ist der Patch-Day kein unmittelbarer Kurstreiber. Am 10. April fiel das Papier auf 139,12 Euro — ein neues 52-Wochen-Tief. Der nächste relevante Termin ist der 23. April 2026: SAP veröffentlicht dann die Q1-Ergebnisse, geplant für 22:05 Uhr MESZ.
Die Sicherheitsarchitektur bleibt dabei kein rein technisches Thema. Für Unternehmenskunden, die SAPs Cloud-Produkte nutzen oder ausbauen wollen, ist das Vertrauen in die Plattformsicherheit ein handfestes Kaufargument — oder eben ein Gegenargument. Wie stark das Cloud-Wachstum im ersten Quartal tatsächlich ausgefallen ist, zeigt sich in einer Woche.
SAP-Aktie: Kaufen oder verkaufen?! Neue SAP-Analyse vom 16. April liefert die Antwort:
Die neusten SAP-Zahlen sprechen eine klare Sprache: Dringender Handlungsbedarf für SAP-Aktionäre. Lohnt sich ein Einstieg oder sollten Sie lieber verkaufen? In der aktuellen Gratis-Analyse vom 16. April erfahren Sie was jetzt zu tun ist.
SAP: Kaufen oder verkaufen? Hier weiterlesen...
