SAP ha rilasciato ventidue note di sicurezza nuove e aggiornate per il suo Security Patch Day di ottobre 2026, tra cui quattro vulnerabilità critiche che interessano SAP Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA e Manufacturing Integration and Intelligence.
Il rilascio è stato annunciato di martedì, secondo il report di SecurityWeek. SAP consiglia ai clienti di installare gli aggiornamenti il prima possibile.
I record di vulnerabilità disponibili indicano i componenti interessati, ma non forniscono gli intervalli di versioni vulnerabili o corrette. Gli amministratori dovrebbero quindi consultare le note di sicurezza SAP applicabili per valutare l'esposizione di ciascuna release in uso, invece di considerare sicura una versione non elencata.
Le richieste OAuth2 possono esporre le credenziali client
La più grave, CVE-2026-89111, è una vulnerabilità di server-side request forgery in SAP Cloud SDK for Python che interessa le applicazioni BTP multi-tenant.
Un attaccante in grado di controllare il parametro tenant_subdomain può reindirizzare le richieste di token OAuth2 verso un server sotto il suo controllo. In questo modo potrebbero essere esposte le credenziali client utilizzate in tali richieste.
La falla è classificata come CWE-918 e ha un punteggio CVSS 3.1 di 10,0, con il vettore:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
Lo sfruttamento richiede accesso alla rete, ma non un account né l'interazione dell'utente. Il vettore valuta la complessità dell'attacco come bassa e indica un impatto potenzialmente elevato su riservatezza e integrità, senza un impatto diretto sulla disponibilità.
Una falla in NetWeaver raggiunge i sistemi remoti preconfigurati
CVE-2026-89110 interessa le funzionalità del portale in SAP NetWeaver Visual Composer. Controlli di autorizzazione insufficienti consentono a un attaccante con privilegi bassi di invocare operazioni interne su un sistema remoto preconfigurato.
L'impatto effettivo dipende dalla configurazione della connessione remota. In configurazioni che espongono operazioni sufficientemente potenti, lo sfruttamento potrebbe portare alla compromissione completa del sistema connesso, con effetti su riservatezza, integrità e disponibilità.
La vulnerabilità è classificata come CWE-749 e ha un punteggio CVSS 3.1 di 9,9:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
È sfruttabile da remoto con bassa complessità e richiede privilegi bassi, ma non l'intervento di un altro utente.
Regole S/4HANA appositamente costruite possono diventare codice ABAP eseguibile
La vulnerabilità di S/4HANA, CVE-2026-89107, è un difetto di validazione dell'input in Manage Substitution/Validation Rules.
La funzionalità di definizione delle regole interessata elabora un linguaggio di scripting specifico di dominio. Un attaccante autenticato, in possesso dei privilegi aziendali richiesti, può inviare un input costruito ad hoc che la logica di elaborazione delle regole interpreta come codice ABAP eseguibile. Lo sfruttamento riuscito può comportare l'esecuzione arbitraria di ABAP e la compromissione completa del sistema interessato.
CVE-2026-89107 è classificata come CWE-94 e ha un punteggio CVSS 3.1 di 9,9:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
L'attacco richiede accesso alla rete, privilegi bassi corrispondenti al ruolo aziendale pertinente e nessuna interazione dell'utente.
Gli amministratori MII possono salire di livello nel server applicativo Java
CVE-2026-89108 riguarda la mancata applicazione dei controlli di autorizzazione nelle funzionalità amministrative di SAP Manufacturing Integration and Intelligence.
Un attaccante che dispone già di privilegi di amministratore MII può inviare una richiesta costruita ad hoc che crea un account con diritti elevati sul server applicativo Java sottostante. Così viene superato il confine di autorizzazione dell'applicazione, e l'attaccante potrebbe ottenere il controllo amministrativo del sistema sottostante.
La falla è classificata come CWE-862 e ha un punteggio CVSS 3.1 di 9,1:
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
A differenza degli altri problemi critici, lo sfruttamento richiede privilegi elevati. La valutazione critica riflette il potenziale di estendere il controllo oltre MII e di compromettere riservatezza, integrità e disponibilità del server sottostante.
Altre correzioni e stato dello sfruttamento
SAP ha inoltre risolto debolezze ad alta gravità in Commerce Cloud, NetWeaver e ABAP Platform. Le conseguenze riportate per queste correzioni includono SQL injection, arresti anomali dei processi e aggiramento di restrizioni. I report disponibili non associano a tali problemi identificativi CVE o punteggi di gravità specifici.
SecurityWeek riferisce che il materiale di SAP non menzionava lo sfruttamento attivo delle vulnerabilità appena corrette. Questo non conferma che lo sfruttamento non sia avvenuto: i punteggi CVSS descrivono la gravità tecnica e le condizioni dell'attacco, non prove di attacchi reali.
Gli amministratori dovrebbero dare priorità agli aggiornamenti SAP, individuare le applicazioni BTP multi-tenant che usano SAP Cloud SDK for Python, verificare l'accesso con privilegi bassi a NetWeaver Visual Composer e limitare i ruoli aziendali S/4HANA e i privilegi amministrativi MII pertinenti agli utenti che ne hanno bisogno. Anche le configurazioni dei sistemi remoti collegati a Visual Composer meritano una verifica, perché determinano la portata possibile di CVE-2026-89110. Questi controlli di accesso possono ridurre l'esposizione durante l'applicazione delle patch, ma non sostituiscono le correzioni del fornitore.
