Nella stessa giornata del Patch Tuesday Microsoft, il 14 luglio, SAP ha pubblicato il proprio Security Patch Day mensile: 16 nuove note di sicurezza e tre aggiornamenti di note precedenti. In cima alla lista c'è una vulnerabilità che chi gestisce sistemi SAP non può permettersi di archiviare tra le pratiche ordinarie: la CVE-2026-44747, punteggio CVSS 9.9, una memory corruption nel kernel di NetWeaver Application Server ABAP — il cuore su cui girano ERP e moduli di business di migliaia di aziende.

Cosa è successo

La falla nasce da errori logici nella gestione della memoria del kernel NetWeaver: un attaccante può innescare una corruzione di memoria con impatto potenziale su riservatezza, integrità e disponibilità del sistema. Ciò che rende il quadro serio è il profilo di sfruttabilità descritto nelle analisi di Onapsis e SecurityWeek: attacco via rete, bassa complessità, privilegi minimi richiesti e nessuna interazione utente. In altre parole, un qualsiasi account di basso livello — o un attaccante che ne abbia rubato uno — può tentare lo sfruttamento da remoto. Il vettore indica anche un cambio di scope: una compromissione può estendersi oltre il perimetro del componente colpito.

Le versioni interessate coprono un arco molto ampio: i kernel KRNL64NUC e KRNL64UC dalla 7.22 alla 7.22EXT e KERNEL dalla 7.22 alla 9.20 — dunque sia installazioni datate sia ambienti recenti. La correzione è nella nota SAP 3747367. Al momento non risultano segnalazioni pubbliche di sfruttamento attivo, ma la storia recente delle falle SAP di questa gravità (da RECON a ICMAD) insegna che i tentativi di scansione e attacco compaiono tipicamente entro pochi giorni dalla pubblicazione delle note.

Il Patch Day corregge anche altre falle critiche, tra cui vulnerabilità in SAP Approuter e SAP Commerce Cloud — componenti spesso esposti su internet, il che le rende candidate naturali a sfruttamento opportunistico.

Cosa significa per le aziende italiane

SAP è la spina dorsale amministrativa e produttiva di una parte enorme del tessuto economico italiano: manifattura, moda, alimentare, grande distribuzione, utilities. Il sistema ERP concentra in un unico punto dati finanziari, anagrafiche clienti e fornitori, cicli di fatturazione e, sempre più spesso, l'integrazione con la produzione. Una compromissione a livello kernel non è un incidente informatico: è un incidente di business, con potenziale fermo dei processi che dipendono dal sistema.

Il dettaglio dei "privilegi minimi" merita una riflessione da consulente. Nei progetti reali capita spesso di considerare il sistema SAP "interno" e quindi protetto: ma un attaccante che abbia già un piede nella rete — tramite phishing, VPN compromessa o un fornitore — e una qualsiasi utenza dialogica di basso profilo avrebbe, con questa falla, un percorso diretto verso il cuore del sistema. La combinazione con il furto di credenziali, oggi il vettore più comune di accesso iniziale, è ciò che trasforma un CVSS alto in un rischio concreto.

C'è poi il tema operativo che distingue SAP dal resto del parco applicativo: una patch al kernel richiede un fermo pianificato e test sugli ambienti di qualità prima della produzione. Non è un aggiornamento che si applica in automatico nella notte: va messo in calendario adesso, non alla prossima finestra semestrale. Molte delle aziende interessate rientrano inoltre nel perimetro NIS2 come soggetti essenziali o importanti: la gestione tempestiva di una vulnerabilità di questa gravità su un sistema critico è esattamente il tipo di misura di cui ACN può chiedere conto, e un eventuale incidente con impatto significativo andrebbe notificato al CSIRT Italia nei tempi previsti. Se l'ERP contiene dati personali — e li contiene sempre — una violazione comporterebbe anche gli obblighi GDPR verso il Garante. Del panorama delle falle NetWeaver ci eravamo occupati anche a giugno, con le quattro falle critiche del Patch Day precedente: la frequenza con cui il perimetro SAP finisce sotto pressione dovrebbe ormai aver convinto anche i più scettici a includerlo nel programma di vulnerability management ordinario.

Cosa fare subito

  • Censire le versioni del kernel NetWeaver in uso (transazione SM51 o comando disp+work) e verificare se rientrano negli intervalli vulnerabili.
  • Pianificare l'applicazione della nota SAP 3747367 partendo dagli ambienti di test, con una finestra di manutenzione per la produzione nel più breve tempo compatibile con i processi.
  • Dare priorità anche alle note su Approuter e Commerce Cloud, specie se i componenti sono raggiungibili da internet.
  • In attesa della patch, ridurre l'esposizione: limitare l'accesso di rete all'application server ai soli segmenti necessari e rivedere le utenze dialogiche inutilizzate o con password deboli.
  • Attivare o verificare il Security Audit Log di SAP per poter rilevare a posteriori eventuali tentativi di sfruttamento.

La lezione di fondo non cambia da un Patch Day all'altro: i sistemi SAP vanno trattati come infrastruttura critica esposta, non come un mondo a parte governato solo dai team funzionali. Chi li aggiorna con cadenza semestrale sta accettando, di fatto, un rischio che nessun consiglio di amministrazione firmerebbe consapevolmente.