Eine neu veröffentlichte Sicherheitslücke in Microsoft Dynamics NAV erfordert sofortiges Handeln. Angreifer können die Schwachstelle über das Netzwerk ausnutzen, ohne sich anmelden zu müssen und ohne dass ein Benutzer etwas anklicken oder bestätigen muss. Betroffene Installationen sollten unverzüglich aktualisiert werden. Gleichzeitig ist jetzt der richtige Zeitpunkt, den dauerhaften Wechsel in die Business Central Cloud einzuleiten.
Microsoft hat am 14. Juli 2026 die kritische Sicherheitslücke CVE-2026-55944 veröffentlicht. Ursache ist die unsichere Verarbeitung nicht vertrauenswürdiger Daten. Ein nicht authentifizierter Angreifer kann dadurch Code über das Netzwerk auf einem betroffenen Dynamics-NAV-Server ausführen. Der CVSS-Wert liegt bei 9,8 von 10 Punkten.
Nach den veröffentlichten Angaben kann bereits eine speziell präparierte Login-Anfrage ausreichen, um die Schwachstelle auszunutzen. Eine vorherige Anmeldung ist nicht erforderlich. Auch eine Mitwirkung durch einen Mitarbeiter, etwa das Öffnen eines Anhangs oder das Anklicken eines Links, wird nicht benötigt.
Das unterscheidet CVE-2026-55944 von vielen klassischen Phishing- oder Malware-Angriffen. Ein erreichbarer, ungepatchter Server kann direkt angegriffen werden.
Die wichtigsten Fakten zu CVE-2026-55944
Schweregrad: Kritisch
CVSS-Wert: 9,8 von 10
Angriffsweg: Über das Netzwerk
Anmeldung erforderlich: Nein
Benutzerinteraktion erforderlich: Nein
Mögliche Auswirkung: Ausführung beliebigen Codes auf dem betroffenen System
Ursache: Deserialisierung nicht vertrauenswürdiger Daten, CWE-502
Betroffene Versionen: Microsoft Dynamics NAV unterhalb von Version 11.0.50704.0 (Alle Versionen z.B. auch NAV2009 – NAV2017 sind alle betroffen)
Abgesicherte Version: 11.0.50704.0 oder neuer
Diese Einstufung bedeutet, dass ein Angriff technisch aus der Ferne erfolgen kann, eine geringe Angriffskomplexität aufweist und keine vorherigen Benutzerrechte benötigt. Die möglichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden jeweils als hoch bewertet.
Welche Systeme sind betroffen?
In der offiziellen Liste der betroffenen Produkte führt Microsoft derzeit Microsoft Dynamics NAV mit Versionen ab 1.0 und unterhalb von 11.0.50704.0 auf.
Unternehmen sollten sich nicht allein auf die im Client angezeigte Produktbezeichnung verlassen. Entscheidend ist die konkrete Build-Version der installierten Serverkomponenten.
Warum ist diese Sicherheitslücke so gefährlich?
Bei vielen Angriffen muss ein Benutzer zunächst einen Link öffnen, einen Anhang ausführen oder seine Zugangsdaten auf einer gefälschten Seite eingeben. Bei CVE-2026-55944 sind solche vorbereitenden Schritte nicht erforderlich.
Ein Angreifer benötigt laut CVSS-Bewertung:
- keine gültigen NAV-Zugangsdaten,
- keine vorhandenen Benutzerrechte,
- keine Interaktion eines Mitarbeiters,
- und keinen lokalen Zugriff auf den Server.
Kann der Angreifer den verwundbaren Dienst über das Netzwerk erreichen, kann eine präparierte Anfrage zur Ausführung von Code führen. Microsoft bewertet sowohl den möglichen Verlust der Vertraulichkeit als auch die Auswirkungen auf Datenintegrität und Systemverfügbarkeit als hoch.
Für ein ERP-System ist das besonders ernst. Dynamics NAV ist häufig eng mit Finanzbuchhaltung, Warenwirtschaft, Produktion, Einkauf, Verkauf und weiteren geschäftskritischen Abläufen verbunden. Eine Kompromittierung des Servers kann deshalb weit über einen einzelnen technischen Dienst hinausgehen.
Was Unternehmen jetzt tun müssen
1. Installierte Build-Version feststellen
Prüfen Sie unverzüglich, welche Dynamics-NAV-Version auf allen Serverinstanzen installiert ist. Maßgeblich ist nicht nur die Version des Windows-Clients, sondern insbesondere die Version der eingesetzten Serverkomponenten.
Liegt die Version unter 11.0.50704.0, ist die Installation laut Microsoft von CVE-2026-55944 betroffen.
2. Sicherheitsupdate sofort einspielen
Betroffene Systeme müssen auf Version 11.0.50704.0 oder eine neuere, abgesicherte Version aktualisiert werden. Vor der Installation sollte geprüft werden, ob individuelle Anpassungen, Add-ons oder angebundene Systeme von dem Update berührt werden.
Ein laufendes oder geplantes Migrationsprojekt ist kein Grund, die Aktualisierung aufzuschieben. Auch wenn die Cloud-Migration bereits begonnen hat, muss die bisherige NAV-Umgebung bis zum endgültigen Abschalten geschützt werden.
3. Erreichbarkeit der NAV-Dienste kontrollieren
Prüfen Sie, aus welchen Netzwerken die betroffenen Dienste erreichbar sind. Nicht benötigte externe Zugriffe sollten eingeschränkt oder vorübergehend gesperrt werden. Besondere Aufmerksamkeit benötigen Systeme, die direkt oder indirekt über das Internet erreichbar sind.
Eine Einschränkung der Erreichbarkeit ersetzt das Sicherheitsupdate nicht. Sie kann das Risiko bis zur erfolgreichen Aktualisierung jedoch reduzieren.
4. Protokolle und Serververhalten überprüfen
Kontrollieren Sie Server- und Anwendungsprotokolle auf ungewöhnliche Anmeldeanfragen, unerwartete Prozesse, unbekannte Benutzerkonten, veränderte Dateien oder auffällige Netzwerkverbindungen.
Außerdem sollte geprüft werden, ob aktuelle, getrennt aufbewahrte und tatsächlich wiederherstellbare Datensicherungen vorhanden sind.
5. Wechsel aus der Altversion verbindlich starten
Der Patch schließt die aktuell bekannte Sicherheitslücke. Er löst jedoch nicht das grundsätzliche Problem einer älteren On-Premises-Installation, bei der Updates, Betriebssysteme, SQL Server, individuelle Erweiterungen und externe Schnittstellen dauerhaft selbst gepflegt werden müssen.
CVE-2026-55944 sollte deshalb nicht nur als technischer Einzelvorfall betrachtet werden. Die Sicherheitsmeldung ist ein konkreter Anlass, eine bereits länger aufgeschobene Modernisierung jetzt umzusetzen.
Patchen oder migrieren? Die Antwort lautet: beides
Kurzfristig muss die betroffene NAV-Version aktualisiert werden. Daran führt kein verantwortbarer Weg vorbei.
Parallel sollte geprüft werden, ob der weitere Betrieb einer älteren NAV-Infrastruktur noch sinnvoll ist. Beim Wechsel zu Business Central Online werden Aktualisierungen kontinuierlich über den Cloud-Dienst bereitgestellt. Administratoren können Wartungsfenster festlegen und Updates innerhalb der vorgesehenen Zeiträume planen. Dadurch entfällt der klassische Upgrade-Stau, bei dem Unternehmen über Jahre auf einer alten Hauptversion verbleiben.
Auch eine Cloud-Lösung ist nicht grundsätzlich frei von Sicherheitsrisiken. Das Betriebsmodell verändert sich jedoch deutlich: Die zugrunde liegende Plattform und die regelmäßige Bereitstellung von Updates werden nicht mehr vollständig in der eigenen Serverumgebung organisiert.
Innerhalb von zwei bis vier Wochen zu Business Central Cloud
Mit DataMigrate Pro ermöglicht IO Integrated die direkte Migration von Dynamics NAV, Navision und älteren Business-Central-Versionen zur Neuesten Microsoft Dynamics 365 Business Central Version.
Im Gegensatz zum klassischen technischen Upgrade muss die Datenbank nicht schrittweise über mehrere sogenannte Jump-Versionen angehoben werden. Die Daten können direkt in die neue Business-Central-Umgebung übertragen werden.
DataMigrate Pro unterstützt dabei unter anderem:
- Stammdaten und Einrichtungsdaten,
- offene und gebuchte Belege,
- Sach-, Debitoren- und Kreditorenposten,
- individuelle Tabellen und Felder,
- Delta-Migrationen und Nachsynchronisierungen,
- Parallelbetrieb von NAV und Business Central,
- sowie einen planbaren Wechsel mit minimaler Betriebsunterbrechung.
Abhängig von Datenumfang, Anpassungen, Add-ons und organisatorischer Vorbereitung kann der Wechsel mit DataMigrate Pro innerhalb von zwei bis vier Wochen realisiert werden. Die bestehende NAV-Umgebung und Business Central können während der Migration parallel betrieben und Daten wiederholt synchronisiert werden.
Warum jetzt der richtige Zeitpunkt für den Wechsel ist
Viele Unternehmen betreiben Dynamics NAV noch immer zuverlässig im Tagesgeschäft. Genau das führt häufig dazu, dass eine Migration immer wieder verschoben wird. Solange das System funktioniert, scheint der Handlungsdruck gering.
CVE-2026-55944 zeigt, wie schnell sich diese Einschätzung ändern kann.
Mit jedem weiteren Jahr steigen typischerweise die Abhängigkeiten von älteren Serverbetriebssystemen, SQL-Versionen, individuellen Anpassungen und nicht mehr gepflegten Erweiterungen. Gleichzeitig wird es schwieriger, kurzfristig auf neue Sicherheitsanforderungen zu reagieren.
Eine geplante Migration ist fast immer besser als eine unter Zeitdruck erzwungene Umstellung nach einem Sicherheitsvorfall.
Jetzt NAV absichern und Cloud-Migration starten
Betreiben Sie Microsoft Dynamics NAV 2018 oder sind Sie sich bei Ihrer Build-Version nicht sicher?
Dann sollten Sie jetzt handeln:
Lassen Sie Ihre installierte Version prüfen, spielen Sie das erforderliche Sicherheitsupdate ein und starten Sie parallel die Migration zu Business Central Cloud. Mit DataMigrate Pro kann der direkte Wechsel je nach Projektumfang innerhalb von zwei bis vier Wochen erfolgen.