Il Security Patch Day di giugno è uno dei più pesanti dell'anno per gli amministratori SAP: 15 note di sicurezza, di cui quattro classificate HotNews, il livello massimo di priorità, con punteggi che arrivano a 9.9 su 10. Le correzioni toccano i componenti centrali degli ambienti enterprise, da NetWeaver a S/4HANA fino a Commerce Cloud.
Le quattro falle critiche
La più grave è CVE-2026-44748 (CVSS 9.9), una vulnerabilità di tipo XML Signature Wrapping nell'autenticazione SAML di NetWeaver AS ABAP e ABAP Platform: un utente autenticato con privilegi minimi può riutilizzare un messaggio firmato valido e inviare al sistema documenti XML modificati, facendo accettare identità manomesse. Il risultato possibile è l'accesso a dati di altri utenti e l'escalation di privilegi attraverso i sistemi aziendali collegati.
Segue CVE-2026-27671 (CVSS 9.8), che per molti versi è ancora più preoccupante: una corruzione di memoria causata dalla validazione impropria del protocollo RFC, sfruttabile senza alcuna credenziale. Basta una richiesta RFC appositamente costruita per compromettere riservatezza, integrità e disponibilità del sistema. Completano il quadro CVE-2026-40128 (CVSS 9.0), un directory traversal nel Web Container di NetWeaver AS Java che espone risorse sensibili a chiunque raggiunga il servizio via rete, e CVE-2026-22732 (CVSS 9.1), una falla ereditata da Spring Security che interessa SAP Commerce Cloud e Data Hub ed è sfruttabile da remoto senza autenticazione né interazione dell'utente.
Tra le note di priorità alta figurano anche un pacchetto di correzioni per le vulnerabilità di Apache Tomcat incluse in Commerce Cloud (CVE-2026-29145) e un controllo di autorizzazione mancante in NetWeaver AS ABAP (CVE-2026-44751).
Perché intervenire subito
I sistemi SAP gestiscono i processi più critici delle grandi organizzazioni — contabilità, logistica, risorse umane — e sono da anni un bersaglio privilegiato: gruppi criminali e attori statali hanno ripetutamente sfruttato falle NetWeaver a poche settimane dalla pubblicazione delle patch. La combinazione tra una falla RFC sfruttabile senza credenziali e una che mina la fiducia nell'autenticazione SAML rende questo ciclo di aggiornamenti prioritario, in particolare per i sistemi esposti verso Internet o raggiungibili da reti di partner.
