SAP corregge una vulnerabilità di massima gravità con corruzione della memoria nel kernel, denominata «OVERPASS»

SAP ha comunicato l’8 settembre 2026 l’esistenza di una vulnerabilità nel kernel con impatto massimo, denominata OVERPASS, nell’ambito degli aggiornamenti di sicurezza di settembre 2026. La release risolve 20 vulnerabilità distribuite su più prodotti SAP.

OVERPASS è classificata come una vulnerabilità di corruzione della memoria all’interno di un componente del kernel SAP. SAP ha corretto il difetto con i propri aggiornamenti di sicurezza, ma mancano ancora informazioni essenziali sulla distribuzione, tra cui i prodotti interessati, le versioni vulnerabili del kernel, le release corrette e l’identificativo CVE.

Non sono inoltre disponibili informazioni confermate sullo sfruttamento della vulnerabilità in corso, sull’esistenza di codice pubblico di proof of concept, sui prerequisiti per l’attacco o sull’esito specifico che un aggressore potrebbe ottenere.

Un difetto a livello di kernel con conseguenze potenzialmente estese

Il kernel SAP fornisce le funzioni fondamentali di runtime per gli ambienti SAP. Una vulnerabilità di corruzione della memoria in un componente di questo tipo può quindi compromettere un livello essenziale dell’infrastruttura, anziché una singola funzionalità applicativa.

La corruzione della memoria si verifica quando un software legge, scrive, alloca o rilascia la memoria in modo scorretto. A seconda del difetto alla base del problema e delle protezioni disponibili, le conseguenze possono andare dal crash di un processo alla manipolazione dell’esecuzione del programma.

Per OVERPASS, tuttavia, non è stato divulgato il meccanismo esatto della corruzione. Non è noto se la vulnerabilità dipenda da un buffer overflow, da una condizione use-after-free, da un accesso out-of-bounds, da un’operazione su un puntatore non valido o da un altro problema di sicurezza della memoria.

La classificazione di massima gravità indica che SAP considera il rischio eccezionalmente serio. Da sola, tuttavia, non consente di determinare il vettore d’attacco o l’impatto finale.

Le informazioni disponibili non confermano se lo sfruttamento riuscito possa consentire:

• Esecuzione arbitraria di codice
• Escalation dei privilegi
• Divulgazione di informazioni
• Bypass dell’autenticazione
• Manipolazione dei dati
• Negazione del servizio
• Compromissione completa da remoto

La posizione del difetto all’interno del kernel rende plausibili conseguenze gravi, ma non è possibile considerarle confermate senza la documentazione tecnica di SAP.

Prodotti e versioni interessati non ancora identificati

Per i responsabili della difesa, la lacuna più rilevante è l’assenza di una matrice verificata dei prodotti interessati. La release di settembre 2026 di SAP riguarda diversi prodotti, ma non sono state indicate le applicazioni specifiche che utilizzano un kernel vulnerabile a OVERPASS.

Non sono note neppure le linee di release del kernel vulnerabili e di quelle corrette. Non sono disponibili intervalli di versione esatti, identificativi dei pacchetti, numeri di build o configurazioni di distribuzione.

Di conseguenza, gli amministratori non possono determinare l’esposizione basandosi esclusivamente sulla descrizione pubblica. Le organizzazioni dovranno consultare le note di sicurezza SAP di settembre 2026 e confrontare l’inventario dei software installati con le informazioni del vendor sulle versioni interessate.

L’identificativo CVE non è stato divulgato nei dettagli disponibili. In sua assenza, i team che gestiscono le vulnerabilità potrebbero avere difficoltà a correlare OVERPASS tra scanner, piattaforme di gestione degli asset, sistemi di ticketing e feed di threat intelligence.

Gli amministratori non dovrebbero presumere che un sistema SAP sia al sicuro solo perché uno scanner non segnala un CVE corrispondente. I contenuti di rilevamento potrebbero dipendere da dati sul prodotto e sulla versione che non sono ancora disponibili negli strumenti di sicurezza comunemente utilizzati.

Sfruttabilità e attacchi in corso restano non confermati

Non esistono prove verificate che dimostrino lo sfruttamento di OVERPASS da parte di aggressori. Alla vulnerabilità non sono stati associati attori malevoli, famiglie di malware, artefatti di exploit, infrastrutture di comando e controllo o indicatori di compromissione.

Non è inoltre noto se sia stato pubblicato codice di exploit, privatamente o pubblicamente. Le informazioni disponibili non spiegano se un aggressore debba disporre di:

• Accesso di rete a un servizio SAP
• Un account SAP autenticato
• Privilegi applicativi elevati
• Accesso locale al sistema operativo
• Un’interazione da parte di un amministratore o di un utente
• Una configurazione specifica o un’interfaccia esposta

Queste differenze sono importanti. Una vulnerabilità del kernel sfruttabile da remoto senza autenticazione richiederebbe una risposta diversa rispetto a un difetto raggiungibile soltanto da un utente locale privilegiato. La massima gravità di OVERPASS impone di intervenire rapidamente, ma non risponde a queste domande tecniche.

Nessuna informazione disponibile conferma la presenza di OVERPASS nel catalogo Known Exploited Vulnerabilities della US Cybersecurity and Infrastructure Security Agency. Non è quindi possibile indicare una data verificata di inserimento nel catalogo KEV o una scadenza di remediation stabilita da CISA.

Gli amministratori SAP dovrebbero dare priorità all’inventario e all’applicazione delle patch

Le organizzazioni che gestiscono ambienti SAP dovrebbero iniziare esaminando la documentazione di sicurezza SAP di settembre 2026 e individuando i sistemi che utilizzano le linee del kernel interessate. Poiché le versioni pertinenti non sono state definite pubblicamente, disporre di inventari interni accurati sarà essenziale.

Una volta confermata l’applicabilità, gli amministratori dovrebbero distribuire le correzioni fornite dal vendor SAP non appena i test operativi lo consentano. La priorità dovrebbe andare ai sistemi accessibili da Internet, alle piattaforme che supportano processi aziendali critici e agli ambienti che gestiscono identità privilegiate o dati sensibili.

Gli aggiornamenti del kernel SAP possono influire sui servizi centrali, sulle istanze applicative e sui flussi operativi dipendenti. Le aziende dovrebbero quindi coordinare la remediation tra amministratori SAP, team infrastrutturali, responsabili delle applicazioni e personale addetto alle security operations, invece di trattare la correzione come una normale patch per gli endpoint.

In attesa degli aggiornamenti, le organizzazioni possono ridurre l’esposizione:

1. Limitando l’accesso di rete non necessario ai servizi SAP.
2. Limitando gli account amministrativi e privilegiati agli utenti autorizzati e ai percorsi di gestione approvati.
3. Verificando le interfacce SAP raggiungibili dall’esterno e rimuovendo le esposizioni non intenzionali.
4. Aumentando il livello di logging relativo all’autenticazione, alle modifiche di configurazione e alle operazioni privilegiate.
5. Monitorando i processi applicativi e del kernel per rilevare crash o riavvii anomali.
6. Cercando comportamenti imprevisti dei processi, modifiche non autorizzate e interruzioni dei servizi prive di spiegazione.
7. Conservando i log pertinenti in caso di rilevamento di attività sospette.

Queste misure sono precauzioni difensive e non workaround confermati dal vendor. Non è stata individuata alcuna modifica di configurazione o misura compensativa specifica in grado di impedire completamente lo sfruttamento.

La divulgazione rientra in una release di sicurezza SAP più ampia

OVERPASS è una delle 20 vulnerabilità corrette su più prodotti SAP con gli aggiornamenti di sicurezza di settembre 2026. Di conseguenza, i team di sicurezza non dovrebbero limitare la propria analisi al problema del kernel.

Le vulnerabilità di massima gravità ricevono naturalmente un’attenzione immediata, ma altri difetti inclusi nello stesso ciclo di aggiornamenti potrebbero interessare prodotti diversi o offrire agli aggressori utili punti d’ingresso. Un’organizzazione potrebbe applicare la patch per OVERPASS e restare esposta attraverso un altro componente SAP interessato.

La difficoltà principale, nell’immediato, è l’incertezza. SAP ha rilasciato una correzione, ma i dettagli pubblici disponibili su OVERPASS non indicano quali installazioni siano esattamente vulnerabili né come un aggressore potrebbe raggiungere il difetto.

Finché queste informazioni non saranno verificate, i responsabili della difesa dovrebbero trattare il problema come un’attività prioritaria di identificazione degli asset e gestione delle patch. L’azione più efficace attualmente disponibile consiste nel consultare le note di sicurezza SAP di settembre 2026, confrontare le release interessate indicate dal vendor con le versioni del kernel distribuite e correggere le esposizioni confermate senza attendere la comparsa di attività di sfruttamento.