Der SAP Patch Day Oktober 2026 ist aus Sicht des BSI ein Sicherheitsereignis mit Handlungsbedarf: Die Advisory WID-SEC-2026-3888, veröffentlicht am 13. Oktober 2026 um 11:59 UTC, meldet mehrere Schwachstellen in SAP-Software. Laut der BSI-Meldung kann ein Angreifer damit Privilegien erhöhen, beliebigen Code ausführen, Sicherheitsmaßnahmen umgehen, vertrauliche Informationen offenlegen oder manipulieren, SQL-Injection- und Cross-Site-Scripting-Angriffe fahren sowie einen Denial-of-Service-Zustand auslösen. Eine CVE-Nummer, ein CVSS-Score oder eine Angabe zu betroffenen Versionen enthält die öffentlich abrufbare Fassung nicht. Damit fehlt genau das, was einen Patch Day für Administratoren bewertbar macht.
SAP Patch Day: Was die BSI-Advisory WID-SEC-2026-3888 belegt
Die Meldung trägt im Titel die Kennzeichnung „[NEU] [hoch]". Der Zusatz „hoch" ist die Schweregrad-Einstufung des BSI für diese Advisory — nicht zu verwechseln mit einem CVSS-Base-Score, den SAP für einzelne Security Notes vergibt. Betroffene sind dem Wortlaut nach Nutzer von „SAP Software", ohne Eingrenzung auf Module, Releases oder Betriebsarten. Im SAP-Kontext bedeutet das in der Praxis: ERP-Landschaften, also Systeme, die in vielen Häusern geschäftskritische Prozesse tragen und nicht selten Teil Kritischer Infrastruktur sind.
Belegt ist außerdem, dass die Advisory mehrere Angriffsklassen parallel nennt. Diese Bandbreite — von Privilegien-Erhöhung über Code-Ausführung bis DoS — ist typisch für einen Patch Day, an dem SAP üblicherweise eine Sammlung einzelner Notes veröffentlicht. Ob es sich um bereits ausgenutzte oder nur theoretisch ausnutzbare Lücken handelt, geht aus dem vorliegenden Text nicht hervor.
Ein Hinweis auf eine zweite BSI-Quelle
Im Umfeld der Story existiert eine BSI-Cybersicherheitswarnung zu SAP, die als einzige gefundene Quelle eine konkrete CVE nennt. Der Volltext des PDF war nicht auslesbar; die Angabe ist damit unbestätigt. Solange das so bleibt, gehört sie nicht in eine Berichterstattung, die als Entscheidungsgrundlage für Patch-Fenster dient.
Fehlende Note-Nummern: Warum die Meldung nicht handlungsleitend ist
Ein SAP Patch Day wird für Administratoren erst dann operativ, wenn drei Dinge bekannt sind: die SAP-Security-Note-Nummer, der betroffene Baustein und der Schweregrad mit CVSS-Wert. Fehlt diese Trias, bleibt nur eine Aussage übrig — es gibt etwas zu patchen. Nicht einmal, ob zum Redaktionsschluss bereits Patches bereitstehen oder ob nur Workarounds existieren, ist der Meldung zu entnehmen. Auch Angriffsvektoren, Authentifizierungsanforderungen und die Frage, ob eine Lücke ohne Login ausnutzbar ist, werden nicht aufgeschlüsselt.
Diese Lücke ist kein Redaktionsversehen, sondern methodisch relevant: Eine Advisory, die ausschließlich Angriffskategorien auflistet, lässt sich nicht priorisieren. Wer mehrere hundert SAP-Systeme betreut, kann daraus kein Wartungsfenster ableiten. Die eigentliche Arbeit — Abgleich mit der installierten Release-Landschaft, Bewertung der eigenen Exposition, Reihenfolge der Einspielung — beginnt erst mit den Details, die SAP selbst veröffentlicht.
Juni 2026 als Vergleich: So detailliert ist ein dokumentierter Patch Day
Wie groß der Unterschied zwischen einer Kurzmeldung und einer ausgewerteten Patch-Day-Berichterstattung ist, zeigt der Blick auf frühere Monate. Die Auswertung des Juni-Patchdays nennt 20 neue und aktualisierte Sicherheitspatches, darunter sechs HotNews- und drei High-Priority-Hinweise. Dort sind einzelne Lücken konkret greifbar: Note #3746332 adressiert CVE-2026-44748, eine XML-Signature-Wrapping-Schwachstelle in der SAML-Authentifizierung von SAP NetWeaver AS ABAP, bewertet mit CVSS 9.9. Ebenfalls dokumentiert ist Note #3717897 zu CVE-2026-27671, einer Memory-Corruption im Application Server ABAP durch unzureichende RFC-Protokollvalidierung, CVSS 9.8 — laut Auswertung ohne Workaround.
Diese Zahlen sind Juni-Fakten, keine Oktober-Werte. Sie dienen hier ausschließlich als Maßstab dafür, welche Detailtiefe ein vollständig ausgewerteter Patch Day erreicht. Für den September 2026 nennt eine Patch-Day-Übersicht 19 neue und 14 aktualisierte Notes, insgesamt 33 Einträge. Auch das ist eine Momentaufnahme des Vormonats, kein Beleg für den Oktober-Umfang. Wer die Mengen aus Juni oder September als Oktober-Zahlen weiterverwendet, produziert eine Falschaussage.
Was Administratoren jetzt prüfen sollten
Die belastbare Primärquelle ist und bleibt das SAP Support Portal mit den Security Notes und der Auflistung der Patch-Day-Termine. Dort finden sich Note-Nummern, Schweregrade und die Angabe, ob ein Patch oder nur eine Übergangslösung vorliegt. Sinnvoll ist eine dreistufige Routine: zuerst die HotNews-Notes gegen die eigene Systemlandschaft abgleichen, dann die betroffenen Bausteine identifizieren, dann das Einspielen in ein reguläres Wartungsfenster einsortieren — beschleunigt nur dort, wo eine Lücke ohne Authentifizierung ausnutzbar ist.
Bis die Oktober-Details vorliegen, ist Zurückhaltung angebracht: keine Panik-Patches außerhalb des Change-Prozesses, aber auch kein Vertagen. Der Schweregrad „hoch" verlangt eine zeitnahe Bewertung, keine sofortige Nacht-und-Nebel-Aktion.
Fazit: Pointer statt Patch-Anleitung
WID-SEC-2026-3888 ist ein Wegweiser, keine Arbeitsanweisung. Die Meldung sagt verlässlich, dass es im Oktober 2026 SAP-Schwachstellen mit breitem Wirkungsspektrum gibt — und sie sagt ebenso verlässlich nichts über Anzahl, Produkte, CVSS-Werte oder Patch-Status. Diese Datenlücke sollte offen benannt werden, statt sie mit Zahlen aus dem Sommer zu füllen. Sicherheitsverantwortliche sollten die SAP-Notes-Seite und den BSI-Warn- und Informationsdienst in den kommenden Tagen engmaschig beobachten und erst auf Basis der konkreten Notes priorisieren.