Il 13 ottobre 2026 il CSIRT Italia, il centro nazionale dell’Agenzia per la cybersicurezza, ha pubblicato l’alert AL03/261013/CSIRT-ITA sugli aggiornamenti di sicurezza di SAP. Il produttore li ha rilasciati nel Security Patch Day di ottobre, l’appuntamento mensile in cui pubblica le correzioni ai propri prodotti. Secondo l’alert risolvono molteplici nuove vulnerabilità, di cui 4 con gravità critica e 3 con gravità alta. L’alert valuta l’impatto sistemico come alto, con un punteggio di 66.66.
Chi è coinvolto
Sono interessati diversi prodotti SAP, nelle versioni indicate dall’alert:
- libreria SAP Cloud SDK per Python, versioni precedenti alla 0.45.2;
- NetWeaver Visual Composer, versione VC70RUNTIME 7.50;
- S/4HANA (Manage Substitution/Validation Rules), versioni S4CORE 105, 106, 107, 108, 109;
- Manufacturing Integration and Intelligence (Configuration Service), versioni XMII 15.4, 15.5;
- Commerce Cloud (OOTB Code), versione COM_CLOUD 2211-JDK21;
- NetWeaver e Web Dispatcher (Internet Communication Manager), con un lungo elenco di versioni tra cui KRNL64UC 7.53, WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16 e KERNEL da 7.53 a 9.20;
- ABAP Platform, versioni KERNEL 7.93, 9.16.
Per l’elenco completo delle versioni di NetWeaver e Web Dispatcher conviene consultare direttamente l’alert e il bollettino del produttore.
Che rischio c’è
L’alert elenca sei tipologie di problemi. La prima è l’esecuzione di codice arbitrario, cioè la possibilità che un aggressore faccia girare sul sistema programmi scelti da lui. Poi c’è l’escalation dei privilegi, che permette di ottenere permessi più ampi di quelli assegnati. Seguono la manipolazione dei dati, la divulgazione di informazioni, l’aggiramento delle restrizioni di sicurezza e il denial of service, ossia il blocco di un servizio che smette di rispondere.
L’alert indica le sette vulnerabilità di gravità critica o alta con questi identificativi: CVE-2026-89120, CVE-2026-89113, CVE-2026-89111, CVE-2026-89110, CVE-2026-89108, CVE-2026-89107 e CVE-2026-58249. Nella tabella dell’alert non risultano segnalazioni né di exploit dimostrativi (proof of concept) né di sfruttamento in corso.
I prodotti SAP gestiscono spesso processi aziendali centrali, come contabilità, produzione e commercio elettronico. Per questo una falla in questi sistemi può avere conseguenze ampie sull’organizzazione che li usa.
Cosa fare
Secondo l’alert, in linea con le dichiarazioni del produttore, i prodotti vulnerabili vanno aggiornati seguendo le indicazioni del bollettino di sicurezza di SAP. Il bollettino di ottobre 2026 è raggiungibile dal sito di supporto SAP, nella sezione dedicata alle note di sicurezza.
Due verifiche di buon senso possono aiutare:
- controllare quali prodotti SAP, e in quali versioni, sono effettivamente in uso, confrontandoli con l’elenco dell’alert;
- avvisare il fornitore o il reparto IT che gestisce i sistemi, in modo che pianifichi gli aggiornamenti.
Fonte: alert AL03/261013/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 13 ottobre 2026 (impatto sistemico alto). Leggi l’alert originale.
