SAP ha rilasciato l’8 settembre 2026 una patch per una falla di gravità massima nel kernel dei suoi sistemi ERP, usati da migliaia di aziende in Italia e nel resto d’Europa per gestire contabilità, logistica e produzione. La vulnerabilità, identificata come CVE-2026-44756 e soprannominata OVERPASS dai ricercatori che l’hanno scoperta, ha ottenuto il punteggio più alto possibile sulla scala CVSS: 10.0 su 10. Un attaccante non autenticato può sfruttarla da remoto per eseguire comandi arbitrari sul sistema operativo, con gli stessi privilegi dell’amministratore SAP. Non serve login, non serve una password rubata: basta mandare una richiesta di rete costruita ad arte.
Il bug è stato individuato da Onapsis Research Labs, la società di sicurezza specializzata in ambienti SAP che ha segnalato la falla in modo responsabile prima della pubblicazione. La CERT-EU, l’organismo che coordina la risposta agli incidenti informatici per le istituzioni dell’Unione Europea, ha pubblicato lo stesso giorno l’avviso di sicurezza 2026-011, invitando le organizzazioni europee ad applicare la patch senza attendere. Il problema riguarda un numero potenzialmente enorme di installazioni, perché il codice difettoso vive nel kernel condiviso da molti prodotti SAP, non in un singolo modulo secondario.
Cos’è OVERPASS e perché il CVSS tocca il massimo
Il nome OVERPASS descrive bene il meccanismo dell’attacco: la vulnerabilità scavalca (“passa sopra”) l’intero processo di autenticazione. Il problema si trova nel modo in cui il kernel SAP elabora l’Extended Passport (EPP), una struttura di tracciamento che i client allegano alle richieste nel momento in cui aprono una sessione. Il guaio è che l’EPP viene analizzato prima di qualsiasi controllo di login: il sistema legge quei dati ancora prima di sapere chi sta bussando alla porta.
Secondo la ricostruzione tecnica pubblicata da SecurityWeek, manca una validazione dei confini durante la deserializzazione dei dati EPP: quando il kernel legge un campo di lunghezza fornito dall’esterno senza controllarne i limiti, si genera un comportamento di memoria non sicuro. BleepingComputer la descrive come una classica debolezza da buffer overflow nella libreria che gestisce l’Extended Passport Protocol. Il risultato pratico è che un aggressore può corrompere la memoria del processo e dirottare l’esecuzione per far partire comandi del sistema operativo con i privilegi dell’account SAP amministrativo.
Quello che rende la falla ancora più pericolosa è la superficie di attacco. Onapsis segnala che il bug è presente di default in una vasta gamma di componenti tecnologici SAP, perché il codice EPP è condiviso a livello di kernel. Le richieste malformate possono arrivare da tre canali distinti: le connessioni HTTP/HTTPS gestite dall’Internet Communication Manager o dal Web Dispatcher (quindi Fiori, WebGUI e le API basate su HTTP), il protocollo di logon SAP GUI gestito dal Dispatcher, e le connessioni RFC tra sistemi diversi. In pratica, quasi ogni punto di ingresso standard verso un ambiente SAP diventa una porta potenziale per l’attacco.
Cosa può fare davvero un aggressore
Le conseguenze di uno sfruttamento riuscito vanno ben oltre il semplice arresto anomalo di un processo. Secondo l’analisi tecnica citata da SecurityWeek, un attaccante che riesce a innescare OVERPASS può eseguire comandi arbitrari sul sistema operativo host, recuperare le credenziali del database e gli hash delle password, leggere le sessioni attive degli utenti collegati in quel momento, modificare configurazioni e persino alterare i binari SAP stessi. È il quadro tipico di una compromissione totale: non un accesso limitato, ma il controllo completo sul processo di business che gira su quella macchina.
CERT-EU valuta l’impatto come alto su tutti e tre i pilastri della sicurezza informatica: riservatezza, integrità e disponibilità. L’avviso parla esplicitamente di possibile comportamento indefinito e terminazione anomala del programma, formula tecnica che nella pratica significa che il sistema può bloccarsi, corrompere dati o restare aperto a ulteriori manipolazioni. Va detto con chiarezza che, al momento della divulgazione, né Onapsis né CERT-EU segnalano casi confermati di sfruttamento attivo in ambiente reale. Il rischio, però, viene descritto come talmente alto che diversi ricercatori si aspettano la comparsa di exploit proof-of-concept a breve, vista la relativa semplicità della classe di bug (un buffer overflow) e l’ampiezza della superficie raggiungibile.
Sul fronte del catalogo CISA delle vulnerabilità sfruttate attivamente (Known Exploited Vulnerabilities), al momento della pubblicazione di questo articolo non risultano conferme pubbliche dell’inserimento di CVE-2026-44756. Diversi analisti la considerano comunque una candidata naturale, dato il profilo: RCE senza autenticazione, software enterprise molto diffuso, punteggio CVSS massimo. Sono gli stessi criteri che in passato hanno portato altre falle SAP nel catalogo entro pochi giorni dalla scoperta di uno sfruttamento reale.
Il patch day di settembre non porta solo OVERPASS
OVERPASS non arriva da sola. Lo stesso patch day dell’8 settembre 2026 ha corretto in totale quattro CVE critiche, tre delle quali bypassano completamente l’autenticazione, secondo il riepilogo ripreso da Yahoo Tech. La seconda falla più grave del lotto è CVE-2026-58240, soprannominata S4GET, con un punteggio CVSS di 9,8. Colpisce il Message Server di SAP NetWeaver, il componente che gestisce la comunicazione e la fiducia reciproca tra le varie istanze di un ambiente SAP distribuito. Anche in questo caso l’exploit non richiede credenziali: l’attaccante abusa del meccanismo di trust tra istanze per eseguire codice o impersonare un’istanza fidata.
Entrambe le falle sono state scoperte e divulgate in modo responsabile dallo stesso team, Onapsis Research Labs, che nel giro di una settimana ha pubblicato due minacce di gravità quasi massima contro l’infrastruttura core di SAP. La correzione per OVERPASS arriva con la Security Note SAP numero 3747649, mentre S4GET viene corretta con la Note 3759472, resa disponibile pochi giorni dopo, il 15 settembre 2026. Le aziende che gestiscono ambienti SAP complessi, con più istanze collegate tra loro via RFC o Message Server, devono applicare entrambe le patch, perché un aggressore determinato può in teoria incatenare più vulnerabilità per muoversi lateralmente da un sistema all’altro.
Questo non è un episodio isolato nel 2026. Solo poche settimane prima, un’altra vulnerabilità critica aveva colpito SAP Commerce Cloud, tracciata come CVE-2026-58231, con circa 4.200 istanze esposte su internet individuate tramite ricerche Shodan. La differenza sostanziale è che quella falla riguardava un prodotto specifico e internet-facing, mentre OVERPASS vive nel kernel condiviso e quindi tocca potenzialmente un numero di installazioni molto più ampio, comprese quelle interne che non sono mai state pensate per essere raggiungibili da internet.
Confronto tra le vulnerabilità SAP critiche del 2026
Per capire dove si colloca OVERPASS rispetto alle altre falle SAP emerse quest’anno, conviene mettere a confronto i dati tecnici principali in una tabella. Il quadro che emerge mostra una tendenza precisa: gli attacchi pre-autenticazione contro l’infrastruttura core di SAP stanno diventando più frequenti, non più rari.
| Vulnerabilità | CVSS | Componente colpito | Autenticazione richiesta | Patch (SAP Note) |
|---|---|---|---|---|
| OVERPASS (CVE-2026-44756) | 10.0 | Kernel SAP, processing Extended Passport | No, pre-logon | 3747649, 8 settembre 2026 |
| S4GET (CVE-2026-58240) | 9,8 | SAP NetWeaver Message Server | No, abuso del trust tra istanze | 3759472, 15 settembre 2026 |
| SAP Commerce Cloud RCE (CVE-2026-58231) | circa 9,x (critica) | SAP Commerce Cloud, endpoint esposti | Spesso no, dipende dalla configurazione | Note dedicate SAP Commerce Cloud |
| GitLab path traversal (CVE-2026-85706) | 10.0 | GitLab, gestione percorsi file | Variabile a seconda del contesto | Rilasciata entro 24 ore dalla scoperta |
| Adobe Commerce/Magento (CVE-2026-75650) | 10.0 | Adobe Commerce, e-commerce | No | Patch d’emergenza |
Il dato che salta all’occhio è la ricorrenza del punteggio massimo, 10.0, tra i grandi vendor enterprise nel corso del 2026. Non è più un’eccezione statistica ma un fenomeno che si ripete con cadenza quasi mensile su software diversi, dal codice open source di GitLab alle piattaforme di e-commerce fino all’ERP SAP. La costante in questi casi è quasi sempre la stessa: un percorso di attacco che non richiede credenziali valide, raggiungibile da remoto, su un software che gestisce dati e processi critici per l’azienda.
L’impatto su Italia ed Europa
SAP mantiene una posizione dominante nel mercato ERP delle grandi imprese in Europa, con una penetrazione particolarmente forte in Germania, Italia, Francia e nei paesi nordici, secondo le analisi di settore riprese dalla stampa specializzata dopo la divulgazione di OVERPASS. I settori più esposti sono manifattura, energia, finanza e pubblica amministrazione, cioè esattamente i comparti dove un’interruzione operativa o una fuga di dati produce danni concreti e immediati: fermo produzione, blocco delle fatturazioni, esposizione di dati finanziari sensibili.
L’avviso CERT-EU 2026-011 non si rivolge soltanto alle istituzioni dell’Unione Europea in senso stretto, ma sottolinea la diffusione capillare di SAP nel tessuto pubblico e privato europeo, invitando a un’applicazione immediata della patch e a un rafforzamento del monitoraggio di rete. Il documento richiama anche gli obblighi di notifica degli incidenti previsti dalla direttiva NIS2 e dal GDPR: se un’azienda europea subisse una compromissione tramite OVERPASS con conseguente esposizione di dati personali, scatterebbero gli stessi obblighi di comunicazione già visti in altri casi di data breach recenti trattati su questo sito.
Per le aziende italiane il problema si somma a un quadro già teso. Negli ultimi mesi il numero di attacchi ransomware contro organizzazioni italiane è cresciuto in modo sensibile, e diversi episodi recenti hanno coinvolto proprio ambienti gestionali e infrastrutture IT centrali. Un ERP compromesso rappresenta un bersaglio particolarmente appetibile per un gruppo ransomware, perché contiene in un unico sistema dati finanziari, anagrafiche clienti, contratti e processi di supply chain: tutto ciò che serve per massimizzare la pressione durante una richiesta di riscatto con doppia estorsione.
Le raccomandazioni tecniche per chi gestisce ambienti SAP
Onapsis e CERT-EU convergono su un set di indicazioni pratiche che i team di sicurezza e gli amministratori SAP dovrebbero applicare senza aspettare oltre. La prima e più ovvia è il patching immediato: applicare la Security Note 3747649 per OVERPASS e la 3759472 per S4GET su tutte le istanze, non solo quelle di produzione, perché il codice del kernel è condiviso anche da ambienti di sviluppo e test che spesso restano trascurati nei cicli di aggiornamento.
La seconda raccomandazione riguarda la riduzione della superficie esposta: limitare l’accesso agli endpoint SAP raggiungibili da internet, in particolare i servizi HTTP/HTTPS gestiti da ICM e Web Dispatcher, l’accesso SAP GUI da reti non fidate e i gateway RFC aperti verso partner esterni. È importante notare che porre i sistemi SAP dietro proxy inversi, VPN e web application firewall aiuta ma non basta da solo, perché OVERPASS agisce a livello di kernel prima di qualsiasi controllo applicativo: un WAF configurato male o che non ispeziona correttamente l’header sap-passport lascia comunque passare la richiesta malevola.
Il terzo blocco di consigli riguarda il monitoraggio: attivare log dedicati per intercettare header EPP malformati o pattern di richiesta anomali, tenere d’occhio i crash o le terminazioni anomale dei processi kernel SAP, e osservare comandi sospetti a livello di sistema operativo eseguiti dagli account amministrativi SAP. Dato che ci si aspetta la comparsa di codice exploit pubblico, mantenere aggiornate le firme IDS/IPS e le regole SIEM dedicate agli attacchi a livello kernel su SAP diventa una priorità immediata, non una attività da pianificare per il trimestre successivo.
Infine, la segmentazione di rete resta la rete di sicurezza in caso il patching non sia ancora completo su tutte le istanze: limitare il movimento laterale dai server SAP verso altri asset critici, applicare il principio del privilegio minimo sugli account di servizio e sui ruoli a livello di sistema operativo, e rivedere le relazioni di trust tra Message Server, per chi è esposto anche a S4GET. Chi gestisce sia ambienti SAP Commerce Cloud sia installazioni NetWeaver/S4HANA dovrebbe trattare le tre vulnerabilità come un pacchetto unico di rischio, perché un attaccante organizzato può concatenarle per ottenere accessi progressivamente più ampi.
Contesto storico: un 2026 difficile per la sicurezza SAP
Guardando all’indietro, il 2025 e il 2026 hanno visto un aumento costante di vulnerabilità critiche a carico di SAP, con più CVE che toccano il livello 9,8-10.0 su prodotti sia on-premise sia cloud. Non si tratta di un caso isolato di scarsa qualità del codice quanto piuttosto di un riflesso dell’attenzione crescente che i ricercatori di sicurezza, incluse aziende specializzate come Onapsis, dedicano a un ecosistema software che resta relativamente poco esplorato rispetto a target più popolari come i browser o i sistemi operativi generici. Più occhi puntati su SAP significa più bug trovati, anche quelli che erano presenti da anni senza essere mai stati segnalati.
Il paragone con altri grandi fornitori enterprise racconta una storia simile. Anche GitLab, Adobe Commerce e diverse piattaforme di virtualizzazione hanno registrato falle da punteggio 10.0 nel corso dell’anno, spesso legate a difetti di validazione di base: percorsi file non controllati, buffer non delimitati, header non verificati. È la dimostrazione che anche il software enterprise più maturo, usato da decenni, continua a nascondere classi di bug relativamente elementari quando si scava abbastanza a fondo nel codice legacy che gestisce protocolli interni come l’Extended Passport.
Cosa aspettarsi nelle prossime settimane
Sulla base della traiettoria seguita da vulnerabilità enterprise comparabili negli ultimi due anni, ci sono alcuni sviluppi ragionevolmente prevedibili nelle prossime settimane. Primo: è probabile che circolino presto exploit proof-of-concept per OVERPASS, dato che la classe di bug (buffer overflow in una fase di parsing pre-autenticazione) è relativamente ben documentata e non richiede tecniche particolarmente sofisticate per una dimostrazione di fattibilità.
- L’inserimento di CVE-2026-44756 nel catalogo CISA KEV appare probabile se emergeranno segnalazioni di sfruttamento attivo, seguendo lo schema già visto con altre falle SAP e con GitLab e Adobe Commerce nello stesso anno.
- È plausibile che gruppi ransomware orientati alla doppia estorsione comincino a scansionare internet alla ricerca di endpoint SAP vulnerabili, replicando la strategia già usata con SAP Commerce Cloud e le sue 4.200 istanze esposte.
- Ci si può aspettare che CERT-EU e le agenzie nazionali di cybersicurezza europee, inclusa l’ACN in Italia, emettano ulteriori bollettini di sollecito nelle prossime settimane, vista la lentezza tipica con cui gli ambienti SAP enterprise vengono aggiornati rispetto a software più snelli.
- È ragionevole aspettarsi che Onapsis e altri ricercatori pubblichino strumenti di scansione o indicatori di compromissione (IoC) dedicati a OVERPASS, per aiutare i team blue a distinguere un attacco reale da traffico anomalo innocuo.
- Il numero di CVE critiche SAP nel 2026 è destinato probabilmente a salire ulteriormente entro fine anno, in linea con il trend di attenzione crescente dei ricercatori verso questo ecosistema.
Vettori di attacco a confronto: dove intervenire prima
Non tutte le tre superfici raggiungibili da OVERPASS comportano lo stesso livello di urgenza operativa. Le aziende con budget di patching limitato e finestre di manutenzione strette devono capire quale canale chiudere o proteggere per primo.
| Canale di attacco | Esposizione tipica | Priorità di mitigazione | Contromisura immediata |
|---|---|---|---|
| HTTP/HTTPS via ICM/Web Dispatcher (Fiori, WebGUI, API) | Spesso raggiungibile anche da internet | Massima | Patch immediata, restrizione IP, WAF con ispezione header |
| SAP GUI via Dispatcher | Solitamente rete interna o VPN aziendale | Alta | Patch, segmentazione rete, accesso solo da VPN |
| Connessioni RFC tra istanze | Rete interna, talvolta verso partner esterni | Alta | Patch, revisione trust RFC, chiusura gateway non necessari |
| Ambienti di sviluppo e test | Spesso trascurati nei cicli patch | Media-alta | Includere nel ciclo di patching standard, non solo produzione |
Il messaggio che emerge da questa tabella è semplice: il canale HTTP/HTTPS resta il più critico perché è quello più spesso esposto a internet in configurazioni Fiori moderne, pensate per l’accesso mobile e remoto degli utenti. Ma trascurare SAP GUI e RFC solo perché “sono interni” è un errore comune: nella maggior parte delle violazioni enterprise degli ultimi anni, l’attaccante ottiene un primo punto d’appoggio dall’esterno e poi si muove lateralmente proprio attraverso i canali che l’azienda considerava al sicuro perché non affacciati su internet.
Chi è Onapsis e perché scopre così tante falle SAP critiche
Onapsis Research Labs non è un nome nuovo per chi segue la sicurezza degli ambienti SAP. L’azienda si è specializzata da anni nell’analisi del codice kernel e dei protocolli interni di SAP, un’area che i grandi cacciatori di bug generalisti tendono a trascurare perché richiede una conoscenza approfondita di un ecosistema software chiuso, con documentazione limitata al pubblico e un modello di licenza che scoraggia la ricerca indipendente su larga scala. Questo spiega perché figure come Onapsis, che lavorano a stretto contatto con SAP nell’ambito di programmi di divulgazione responsabile, riescano a trovare vulnerabilità di questa portata con una cadenza che ad altri osservatori sembra sorprendente.
Il rapporto tra Onapsis e SAP segue lo schema classico della divulgazione responsabile: il ricercatore individua il bug, lo comunica privatamente al vendor, concorda un periodo di embargo per permettere lo sviluppo della patch, e solo dopo il rilascio ufficiale pubblica i dettagli tecnici. Questo processo ha funzionato correttamente sia per OVERPASS sia per S4GET, entrambe corrette prima che i dettagli tecnici completi diventassero pubblici. È un modello che riduce il rischio di sfruttamento immediato, ma non lo azzera: una volta che la patch è disponibile, gli attaccanti possono comunque analizzare la differenza tra codice vecchio e nuovo (un procedimento noto come patch diffing) per ricostruire l’exploit da soli, spesso in tempi molto più brevi di quanto le aziende impieghino ad applicare l’aggiornamento.
Come verificare se la propria azienda è a rischio
Per un’azienda che non dispone di un team SAP Basis dedicato, capire rapidamente se i propri sistemi sono esposti a OVERPASS richiede pochi passaggi concreti. Il primo è verificare il livello di patch del kernel attualmente installato su ogni istanza SAP tramite la transazione standard di amministrazione, confrontandolo con quanto indicato nella Security Note 3747649. Il secondo è mappare quali istanze sono raggiungibili da internet, cosa che spesso richiede il coinvolgimento del team di rete oltre a quello applicativo, perché non è raro che configurazioni datate espongano porte o servizi che nessuno ricordava più attivi.
Un terzo passaggio utile è consultare i log del Web Dispatcher e dell’ICM alla ricerca di richieste con header sap-passport anomali o di dimensioni fuori dal comune, che potrebbero indicare tentativi di scansione o sfruttamento già in corso prima ancora che la patch venga applicata. Le aziende che si affidano a un fornitore di hosting gestito per il proprio ambiente SAP dovrebbero contattare direttamente il fornitore per chiedere conferma scritta dell’applicazione della patch, senza dare per scontato che il ciclo di aggiornamento standard copra automaticamente vulnerabilità di gravità critica in tempi rapidi.
Domande frequenti su CVE-2026-44756 OVERPASS
Cos’è esattamente CVE-2026-44756?
È una vulnerabilità di corruzione della memoria nel kernel SAP, nella parte che elabora l’Extended Passport (EPP). Consente l’esecuzione di comandi arbitrari sul sistema operativo senza bisogno di autenticazione, con un punteggio CVSS di 10.0, il massimo possibile.
Quali prodotti SAP sono interessati?
Il difetto risiede nel kernel condiviso, quindi tocca potenzialmente un’ampia gamma di componenti tecnologici SAP che usano il processing EPP standard, sia in configurazioni ABAP sia Java, raggiungibili via HTTP(S), SAP GUI o RFC. I dettagli precisi sulle versioni interessate sono elencati nella SAP Security Note 3747649, disponibile per i clienti tramite il portale di supporto SAP.
Esistono attacchi attivi che sfruttano questa falla?
Al momento della divulgazione, né Onapsis né CERT-EU segnalano casi confermati di sfruttamento attivo in ambienti reali. Il rischio viene però valutato come molto alto, e diversi ricercatori si aspettano exploit proof-of-concept a breve.
Come si applica la patch?
SAP ha pubblicato la Security Note 3747649 durante il patch day dell’8 settembre 2026. Gli amministratori devono aggiornare il livello di patch del kernel su tutte le istanze, comprese quelle di sviluppo e test, non solo quelle di produzione.
OVERPASS è collegata ad altre vulnerabilità SAP recenti?
Sì, nello stesso patch day è stata corretta anche S4GET (CVE-2026-58240, CVSS 9,8), che colpisce il Message Server di NetWeaver. Poche settimane prima era emersa anche una falla critica in SAP Commerce Cloud (CVE-2026-58231), con circa 4.200 istanze esposte individuate via Shodan. Sono vulnerabilità distinte ma che, se non corrette, possono essere concatenate da un aggressore determinato.
Quali settori sono più a rischio in Italia?
Manifattura, energia, finanza e pubblica amministrazione sono i comparti dove SAP ha la penetrazione più alta in Europa, Italia inclusa, e quindi quelli dove un’eventuale compromissione avrebbe l’impatto operativo più immediato.
Basta un firewall applicativo (WAF) per proteggersi senza applicare la patch?
No. OVERPASS agisce a livello di kernel prima di molti controlli applicativi standard, quindi un WAF configurato in modo generico può non intercettare l’header EPP malformato. Il patching resta la contromisura primaria; la segmentazione di rete e il monitoraggio sono complementari, non sostitutivi.
Cosa devono fare subito i team di sicurezza?
Applicare senza ritardi le Security Note 3747649 e 3759472 su tutte le istanze, verificare l’esposizione degli endpoint HTTP(S), SAP GUI e RFC verso l’esterno, attivare il monitoraggio per header EPP anomali e crash del kernel, e allineare il piano di incident response agli obblighi di notifica previsti da NIS2 e GDPR in caso di compromissione con esposizione di dati personali.
