Un bug di gravità massima nel kernel SAP consente l'esecuzione di codice remoto senza autenticazione, mettendo a rischio dati aziendali e processi. SAP rilascia patch d'emergenza mentre gli esperti avvertono: nessun controllo di rete o autorizzazione può bloccare l'attacco.
Un singolo pacchetto malevolo può bastare per prendere il controllo di un'intera infrastruttura SAP: è questa la realtà che emerge dopo la scoperta di OVERPASS, una vulnerabilità nel kernel SAP che permette a chiunque di eseguire comandi di sistema con privilegi amministrativi, senza nemmeno autenticarsi. Il rischio? Compromissione totale di dati, processi e credenziali aziendali.
Il cuore del problema è CVE-2026-44756, classificato con il massimo punteggio di rischio (CVSS 10.0). Il bug, individuato dagli specialisti di Onapsis, si annida nella gestione dell'Extended Passport Processing (EPP) e deriva da una mancata validazione dei limiti durante la deserializzazione dei dati. Un attaccante può inviare richieste di rete con header EPP manipolati, provocando corruzione di memoria e crash anomali, ma soprattutto ottenendo il controllo del processo SAP e la possibilità di eseguire comandi sul sistema operativo sottostante.
Non si tratta di una minaccia confinata a un singolo protocollo: la vulnerabilità è accessibile sia dal layer web esposto su Internet, sia dal SAP GUI usato dagli utenti, sia dal layer RFC che collega diversi sistemi SAP. Nessuna autenticazione richiesta, nessun firewall in grado di bloccare efficacemente l'attacco senza interrompere i servizi agli utenti. "OVERPASS è raggiungibile da più componenti e protocolli SAP, nessuno dei quali richiede credenziali", avverte JP Perez-Etchegoyen, CTO di Onapsis.
Le conseguenze sono devastanti: chi sfrutta la falla può leggere il secure store SAP, recuperare credenziali di database e hash di password, accedere ai dati di sessione degli utenti attivi, estrarre credenziali per muoversi lateralmente su altri sistemi SAP e persino modificare dati applicativi, configurazioni e binari del sistema.
Non è l'unico incubo per gli amministratori SAP. Un secondo bug critico, CVE-2026-58240 (CVSS 9.8), battezzato S4GET, colpisce il Message Server di SAP NetWeaver: qui manca un controllo di autenticazione, consentendo ad attaccanti sulla rete di compiere azioni non autorizzate. Anche in questo caso, nessuna password o certificato richiesto, e la vulnerabilità è attivabile tramite la stessa porta pubblica usata dai client SAP GUI. Pablo 'Partu' Agustin Artuso di Onapsis lo definisce "un difetto logico, non una semplice errata configurazione", che interessa i kernel 9.x di SAP S/4HANA e S/4HANA Cloud Private Edition.
Altre due falle critiche completano il quadro: CVE-2026-76969 (CVSS 9.4), che permette la sottrazione di credenziali in applicazioni multi-tenant basate su SAP Cloud Application Programming Model, e CVE-2026-66768 (CVSS 9.0), che consente l'esecuzione di comandi arbitrari tramite SAP GUI for Java. In entrambi i casi, basta una richiesta appositamente costruita per compromettere dati e sistemi.
Finora non risultano attacchi noti che abbiano sfruttato queste vulnerabilità, ma la gravità tecnica impone una risposta immediata. Onapsis raccomanda di inventariare tutti i sistemi SAP, applicare le patch prima sui sistemi esposti a Internet, ridurre la superficie di attacco e monitorare costantemente i tentativi di exploit. L'azienda sottolinea che nessuna misura di autorizzazione o segregazione dei ruoli può mitigare OVERPASS: il codice vulnerabile viene eseguito prima di qualsiasi autenticazione, rendendo inutili blocchi utenti, policy di password o restrizioni sulle transazioni.
Il panorama delle minacce ai sistemi aziendali si fa sempre più complesso: la recente intrusione su Coder dimostra come i criminali informatici puntino a piattaforme critiche per rubare credenziali e segreti, sfruttando ogni anello debole della catena digitale.
La realtà è che SAP, colosso dei sistemi gestionali, si trova ora davanti a una sfida di sicurezza senza precedenti: vulnerabilità che aggirano ogni barriera tradizionale e mettono in discussione la fiducia nei controlli storici. Chi gestisce ambienti SAP non può più permettersi ritardi o superficialità: la rapidità nell'applicare le patch e la capacità di monitorare in profondità il traffico e i processi sono l'unica difesa concreta. L'era delle patch trimestrali e delle mitigazioni parziali è finita: chi resta indietro rischia di vedere i propri dati e processi aziendali in mano a chiunque sappia inviare il pacchetto giusto al momento giusto.
