Kritische Sicherheitslücken bedrohen Systeme mit der folgenden IT-Sicherheitssoftware von Check Point: Security Gateway, Security Management Server und Spark Firewall. Sicherheitspatches schließen die Schwachstellen.

Bislang gibt es seitens des Softwareunternehmens keine Hinweise, dass Angreifer die folgenden Sicherheitslücken bereits ausnutzen. Das kann sich aber schnell ändern, sodass Admins die reparierten Versionen zeitnah installieren sollten.

Zwei kritische Sicherheitsprobleme

In einer Warnmeldung führen die Entwickler aus, dass es im Zuge des Aufbaus einer VPN-Verbindung zu Fehlern bei der Zertifikatsüberprüfung kommt. So können entfernte Angreifer ohne Authentifizierung Schadcode ausführen. Aufgrund der „kritischen“ Einstufung der Lücke (CVE-2026-85102) ist davon auszugehen, dass Systeme im Anschluss als vollständig kompromittiert gelten.

Im zweiten, ebenfalls „kritischen“ Fall (CVE-2026-85103) kommt es im ASN.1-Dekodierungsprozess für VPN-Zertifikate zu Speicherfehlern, sodass Schadcode auf Computer gelangt. Die Entwickler geben an, dass von beiden Schwachstellen die folgenden Versionen betroffen sind:

• R81.10.x, R82.00.x
• R81.20, R82, R82.10

Auch die folgenden nicht mehr im Support befindlichen Ausgaben sind verwundbar. Diese erhalten keine Sicherheitsupdates mehr:

• R80
• R80.10
• R80.20
• R80.30
• R80.40
• R81
• R81.10

Um Systeme vor möglichen Attacken zu schützen, müssen Admins ein Upgrade auf eine noch unterstützte Version durchführen. R82.20 ist den Entwicklern zufolge nicht von den Sicherheitsproblemen betroffen.

In diesen Ausgaben haben die Entwickler die Sicherheitsprobleme eigenen Angaben zufolge gelöst:

• R81.20 BUNDLE_URGENT_SECURITY_UPDATE_R81_20_AUTOUPDATE take 24
• R82 BUNDLE_URGENT_SECURITY_UPDATE_R82_AUTOUPDATE take 24
• R82.10 BUNDLE_URGENT_SECURITY_UPDATE_R82_10_AUTOUPDATE take 24

(des)

Mit dem Start der ersten Meldepflichten des Cyber Resilience Act (CRA) kennen nur 29 Prozent der Unternehmen in Deutschland die Bedeutung der EU-Verordnung für das eigene Haus. Weitere 38 Prozent haben zwar von dem Regelwerk gehört, können dessen Folgen aber nicht einschätzen. Das geht aus einer repräsentativen Umfrage des Branchenverbands Bitkom hervor.

Meldepflichten greifen seit heute

Der Cyber Resilience Act verpflichtet Hersteller von Produkten mit digitalen Elementen zu Mindeststandards für die Cybersicherheit. Betroffen sind nicht nur vernetzte Geräte wie Router oder industrielle Steuerungen, sondern auch Software. Die meisten Anforderungen gelten für Produkte, die ab dem 11. Dezember 2027 neu auf den EU-Markt kommen. Ab heute, also dem 11. September 2026, müssen Hersteller jedoch bereits aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Einen Überblick über den Anwendungsbereich bietet das BSI zum Cyber Resilience Act.

Die Meldepflicht folgt einem engen Zeitplan: Innerhalb von 24 Stunden nach Bekanntwerden ist eine Frühwarnung fällig. Innerhalb von 72 Stunden müssen Hersteller weitere Informationen und eine erste Bewertung vorlegen. Für Schwachstellen folgt ein Abschlussbericht spätestens 14 Tage, nachdem eine Abhilfemaßnahme – etwa ein Patch oder Workaround – verfügbar ist. Bei schwerwiegenden Sicherheitsvorfällen bleibt dafür ein Monat nach der 72-Stunden-Meldung. Die EU-Agentur ENISA betreibt dafür die zentrale Single Reporting Platform.

Bekanntheit ist nicht gleich Umsetzung

Laut der Bitkom-Umfrage haben 67 Prozent der Unternehmen zumindest schon vom CRA gehört. Für 28 Prozent ist die Verordnung dagegen völlig unbekannt. Der Verband hatte 1003 Unternehmen mit mindestens zehn Beschäftigten und einem Jahresumsatz von mindestens einer Million Euro telefonisch befragt. Die Erhebung lief von Kalenderwoche 16 bis 23 dieses Jahres.

Die Befragung erfasst allerdings vor allem die Bekanntheit des CRA. Sie beantwortet nicht, wie viele Unternehmen ihre Meldewege, Zuständigkeiten oder Schwachstellenprozesse bereits praktisch eingerichtet haben. Zudem richtet sich die heute gestartete Meldepflicht in erster Linie an Hersteller von Produkten mit digitalen Elementen. Für Firmen, die solche Hard- oder Software entwickeln oder unter eigener Marke vertreiben, dürfte die Frage nach der eigenen Betroffenheit daher dringlicher sein als für reine Anwenderunternehmen.

Der Bitkom kritisiert insbesondere, dass Unternehmen die Meldeplattform vor deren Start nicht registrieren und die Prozesse nicht erproben konnten. Die Plattform ging erst mit Beginn der Meldepflicht online. ENISA zufolge können Hersteller Meldungen dort einmalig einreichen; die Informationen gehen anschließend an die zuständigen nationalen CSIRTs und an ENISA.

Prozesse und Komponentenlisten werden wichtiger

Für betroffene Hersteller bedeutet die Frist vor allem organisatorischen Druck: Sie müssen erkennen können, ob eine Schwachstelle tatsächlich aktiv ausgenutzt wird, welche Produkte und Versionen betroffen sind und wer die Meldung freigibt. Ohne belastbare Inventare für eigene Software und zugekaufte Komponenten lässt sich das nur schwer innerhalb von 24 Stunden klären.

Grundlegende Informationen zum CRA finden Betroffene im iX-Artikel „Der EU Cyber Resilience Act: Was man darüber wissen muss“. Ergänzend behandelt der iX-Artikel „Der Cyber Resilience Act und der Stand der Technik“ außerdem mögliche technische und organisatorische Ansatzpunkte bis zur weiteren Konkretisierung der Anforderungen.

Dazu zählen etwa eine Software Bill of Materials (SBOM), geregelte Prozesse für Vulnerability Handling und eine nachvollziehbare Zuordnung von Sicherheitsupdates zu ausgelieferten Produktversionen. Solche Informationen helfen nicht nur beim späteren Konformitätsnachweis, sondern sind auch Voraussetzung, um bei einer aktiv ausgenutzten Lücke den Umfang eines Vorfalls rasch einzugrenzen.

(fo)

Um Attacken vorzubeugen, müssen Admins von SAP-Anwendungen zeitnah die jüngst veröffentlichten Versionen von bestimmter Businesssoftware installieren. Bislang gibt es keine Berichte über Attacken.

IT-Sicherheitsprobleme

Wie aus dem Sicherheitsbereich der SAP-Webseite hervorgeht, gilt eine „kritische“ Schwachstelle (CVE-2026-44756) in SAP Extended Passport (EPP) mit maximalem CVSS Score 10 von 10 als am gefährlichsten. Die Entdecker von Onapsis tauften die Lücke „OVERPASS“. Hat ein Angreifer Netzwerkzugriff, kann er ohne Authentifizierung präparierte Netzwerkanfragen absetzen, um dadurch Fehler auszulösen. In der Folge kommt es zu Abstürzen.

Weitere kritische Lücken betreffen SAP NetWeaver (CVE-2026-58240, CVE-2026-66768) und SAP Cloud Application Programming Model (CVE-2026-76969). An diesen Stellen können Angreifer die Authentifizierung umgehen und unberechtigterweise auf Zugangsdaten zugreifen.

Weitere Gefahren

Ferner sind noch weitere SAP-Anwendungen angreifbar. So können sich Angreifer etwa im Kontext von SAP ABAP Developer Tools höhere Nutzerrechte verschaffen (CVE-2026-58243 „hoch“) oder in SAP Commerce Cloud Informationen leaken (CVE-2026-2332 „hoch“).

Admins müssen im SAP-Supportbereich die für sie passenden, reparierten Versionen ausfindig machen und installieren.

(des)