Diversi difetti di sicurezza presenti nel software aziendale di SAP mettono a rischio critici dati commerciali. Gli attaccanti possono sfruttare queste vulnerabilità per ottenere accesso non autorizzato a dati che dovrebbero essere strettamente protetti e isolati. Per ovviare a questi problemi, il produttore ha reso disponibili aggiornamenti di sicurezza e ha pubblicato complessivamente 16 nuovi avvisi di sicurezza e 4 avvisi su GitHub.
Le vulnerabilità più pericolose
Secondo quanto riportato sull'area di sicurezza del sito web di SAP, quattro vulnerabilità sono classificate come «critiche». In particolare, per un difetto nel SAP Cloud SDK for Python (identificato come CVE-2026-89111) è stato attribuito il punteggio massimo CVSS di 10 su 10. Grazie a questa falla, gli aggressori possono manipolare il parametro tenant_subdomain nel contesto dell'autenticazione OAuth2, seguendo un percorso specifico non descritto in dettaglio nelle comunicazioni pubbliche.
Il problema sorge perché il software in questione incorpora senza sufficiente verifica questo valore all'interno dell'URL utilizzato per la richiesta di token. Di conseguenza, l'applicazione viene costretta a inviare le proprie credenziali client e i relativi secret a un server controlato direttamente dall'attaccante. Con queste credenziali rubate, l'aggressore ottiene l'accesso a tutte le risorse per cui l'applicazione è autorizzata, inclusi i dati sensibili presenti in SAP S/4HANA, SuccessFactors e altri servizi della piattaforma Business Technology Platform (BTP). Per contrastare questa specifica minaccia, è consigliato l'uso della versione 0.45.2 del SAP Cloud SDK for Python.
Accesso abusivo ed esecuzione di codice malevolo
Oltre al furto di credenziali, altre vulnerabilità critiche permettono attacchi diretti all'integrità dei sistemi. A causa di un controllo degli accessi errato, gli attaccanti dotati di elevati privilegi utente possono accedere in modo illegale al SAP NetWeaver Visual Composer, consentendo loro di assumere il controllo completo del sistema (CVE-2026-89110, classificata come «critica»). Inoltre, una volta autenticati, gli aggressori possono sfruttare un errore implementato in SAP S/4HANA per eseguire codice malevolo a loro piacimento (CVE-2026-89107, anch'essa «critica»).
Un ulteriore rischio significativo riguarda il modulo SAP Manufacturing Integration and Intelligence. Lo sfruttamento di una falla specifica (CVE-2026-89108, classificata come «critica») permette agli attaccanti di compromettere i sistemi operando con i privilegi di amministratore, creando così un pericoloso rischio per l'infrastruttura aziendale.
Altri prodotti vulnerabili e consigli per gli amministratori
Oltre ai moduli sopra menzionati, altre piattaforme risultano esposte a rischi di sicurezza. Tra le soluzioni vulnerabili figurano la SAP Commerce Cloud, il SAP NetWeaver con il SAP Web Dispatcher e la piattaforma SAP ABAP. Per il momento, il produttore non ha fornito indicazioni che suggeriscano un utilizzo attivo delle vulnerabilità da parte di gruppi di attaccanti nella rete.
Tuttavia, la situazione potrebbe cambiare rapidamente, dato che gli avversari monitorano costantemente le nuove uscite dei patch. Pertanto, è fondamentale che gli amministratori di sistema reagiscano tempestivamente per assicurarsi del corretto funzionamento dell'infrastruttura. La raccomandazione primaria è quella di installare immediati i patch di sicurezza resi disponibili per mitigare il rischio di violazioni dei dati e di interruzioni operative. La rapidità nell'applicazione degli aggiornamenti è la difesa più efficace a disposizione per proteggere gli ambienti IT dalle attività di hacking avanzato.