SAP, patch di ottobre 2026: quattro falle critiche, tra cui CVE-2026-89111 (CVSS 10.0)

• SAP ha rilasciato il Patch Day del 13 ottobre 2026: 22 voci, quattro critiche
• Colpiti S/4HANA, NetWeaver, Web Dispatcher, Commerce Cloud, Cloud SDK for Python
• Il CVSS più alto è 10.0 (CVE-2026-89111); nessuno sfruttamento attivo indicato
• Applicare le patch in via prioritaria; Cloud SDK for Python alla 0.45.2 o successiva

SAP ha pubblicato il 13 ottobre 2026 gli aggiornamenti di sicurezza mensili. Il bollettino comprende 16 nuove security note, quattro advisory su GitHub e due aggiornamenti di note precedenti. Le correzioni riguardano S/4HANA, NetWeaver, Web Dispatcher, Commerce Cloud e diverse librerie di sviluppo.

Sulle 22 voci complessive, SAP ne classifica quattro come critiche, tre come alte, 14 come medie e una come bassa.

Le quattro vulnerabilità critiche

• CVE-2026-89111 (CVSS 10.0): server-side request forgery (SSRF) in OAuth2 di SAP Cloud SDK for Python, nelle versioni precedenti alla 0.45.2. Nelle applicazioni multi-tenant su SAP Business Technology Platform, chi controlla il parametro tenant_subdomain può dirottare le richieste di token verso un server proprio ed esporre le credenziali del client.
• CVE-2026-89107 (CVSS 9.9): code injection nella funzione Manage Substitution/Validation Rules di SAP S/4HANA. Sono interessate le versioni S4CORE 105, 106, 107, 108 e 109; la correzione è nella Security Note 3805589. Un utente autenticato con specifici privilegi può inviare input che il sistema tratta come codice ABAP eseguibile. Il vettore CVSS indica bassa complessità e nessuna interazione di altri utenti.
• CVE-2026-89110 (CVSS 9.9): broken access control in NetWeaver Visual Composer VC70RUNTIME 7.50.
• CVE-2026-89108 (CVSS 9.1): mancato controllo di autorizzazione nel Configuration Service di Manufacturing Integration and Intelligence, versioni 15.4 e 15.5.

La falla di memoria, di gravità alta

CVE-2026-58249 (CVSS 7.5) colpisce l’Internet Communication Manager di SAP NetWeaver e SAP Web Dispatcher ed è corretta dalla Security Note 3765424. Un attaccante remoto non autenticato può inviare una richiesta costruita ad arte. Il software non convalida alcuni campi gestiti da un componente di protocollo interno, causando un errore di gestione della memoria e il crash del processo. L’impatto dichiarato riguarda la disponibilità, non riservatezza né integrità. Non è quindi confermata l’esecuzione di codice.

L’elenco delle versioni coinvolte è ampio: HDB 2.00, diverse release di kernel e Web Dispatcher, Content Server, XS Advanced Runtime e SAP Extended Application Services. Gli amministratori devono confrontare i componenti installati con l’elenco completo del vendor, perché non tutte le installazioni richiedono lo stesso pacchetto.

Altre correzioni e stato di sfruttamento

Il ciclo di patch corregge anche una SQL injection in Commerce Cloud, lacune di autorizzazione in ABAP Platform e vari cross-site scripting. Le due note aggiornate riguardano problemi precedenti di SSRF e di scripting.

La fonte ricorda lo zero-day NetWeaver CVE-2025-31324, sfruttato in passato attraverso Visual Composer e oggetto di un avviso CISA. Precisa però che quei casi non costituiscono prova di sfruttamento delle nuove vulnerabilità.

Cosa fare

• Identificare i prodotti SAP in uso e leggere le security note pertinenti.
• Applicare le patch in via prioritaria, come raccomanda SAP, pianificando gli aggiornamenti in base alle esigenze di business.
• Per SAP Cloud SDK for Python, passare alla versione 0.45.2 o successiva e verificare quali applicazioni usano la libreria.
• Includere nella revisione anche le due note aggiornate, anche se le correzioni critiche hanno la precedenza.

Fonte: Cyber Security News · Foto: Cyber Security News