SAP ha corretto CVE-2026-44756, una vulnerabilità critica nel processing Extended Passport del SAP Kernel che può essere sfruttata da remoto senza autenticazione e ha ricevuto il punteggio CVSS massimo di 10.0. La falla, chiamata OVERPASS da Onapsis Research Labs, può permettere l’esecuzione di comandi sul sistema operativo con privilegi amministrativi SAP.
La decisione operativa è semplice: se gestisci sistemi SAP basati sui Kernel interessati, verifica subito il livello di patch e applica la SAP Security Note 3747649. Al 9 settembre 2026 Onapsis dichiara di non aver osservato sfruttamento attivo in-the-wild, ma la vulnerabilità è raggiungibile da più componenti e protocolli e non esiste un singolo controllo di rete che la neutralizzi completamente.
SAP OVERPASS in breve: chi deve preoccuparsi
| Domanda | Risposta |
|---|---|
| CVE | CVE-2026-44756 |
| Nome | OVERPASS |
| Gravità | CVSS 10.0, Critical |
| Autenticazione necessaria | No |
| Attacco remoto | Sì |
| Correzione definitiva | SAP Security Note 3747649 |
| Sfruttamento pubblico osservato | Non segnalato da Onapsis al 9 settembre 2026 |
La pagina ufficiale SAP Security Patch Day di settembre 2026 classifica la vulnerabilità come Critical con CVSS 10.0 e indica la Security Note 3747649 come riferimento per le versioni interessate e la correzione.
Perché CVE-2026-44756 è diversa da una normale falla applicativa
Il problema si trova nel codice che gestisce l’Extended Passport, EPP, una struttura usata da SAP per trasportare informazioni di tracing tra componenti e richieste. Secondo Onapsis Research Labs, durante la deserializzazione dei dati EPP mancano controlli adeguati sui limiti di alcuni campi. Un input appositamente costruito può quindi causare una violazione di sicurezza della memoria.
Il punto più importante non è il dettaglio del bug, ma dove viene elaborato. EPP è gestito da codice condiviso del Kernel prima che entrino in gioco molte delle normali verifiche di autenticazione e autorizzazione. Per questo la falla può essere raggiunta senza credenziali e attraverso più percorsi.
Quali componenti SAP possono esporre OVERPASS
SAP elenca tra le versioni interessate diversi rami di KERNEL, KRNL64UC, KRNL64NUC e Web Dispatcher. L’elenco preciso dipende da release e patch level, quindi non va dedotto dal nome commerciale del prodotto: la verifica corretta si fa confrontando il Kernel installato con la Security Note 3747649.
Onapsis segnala almeno tre superfici attraverso cui il codice EPP può essere raggiunto:
- Web layer: Internet Communication Manager e SAP Web Dispatcher, usati da Fiori, WebGUI, servizi web e API.
- SAP GUI layer: il Dispatcher che riceve le connessioni dei client SAP GUI.
- RFC layer: le connessioni Remote Function Call utilizzate tra sistemi SAP e integrazioni.
Questo significa che limitarsi a cercare i server pubblicati su Internet può sottostimare il problema. Anche un sistema interno può essere raggiungibile da utenti o host già presenti nella rete aziendale.
Come capire se un sistema SAP è vulnerabile
- Fai un inventario dei sistemi SAP, inclusi ambienti di test, sviluppo e istanze meno visibili.
- Rileva release e patch level del Kernel di ciascun sistema.
- Confrontali con l’elenco ufficiale della SAP Security Note 3747649.
- Segna quali sistemi hanno interfacce web accessibili da Internet.
- Verifica anche quali host interni possono raggiungere SAP GUI, Dispatcher e RFC.
- Ordina il rollout partendo dai sistemi più esposti, senza escludere quelli interni.
Non usare il solo CVE scanner generico come unica prova di sicurezza. Per una vulnerabilità nel Kernel la fonte autorevole resta il livello di patch indicato da SAP. Un asset può non essere direttamente esposto sul web ma essere comunque in scope attraverso altri protocolli.
La patch è l’unica mitigazione completa
Onapsis è esplicita su questo punto: applicare la SAP Security Note 3747649 è la correzione definitiva. Segmentazione, ACL, jump host e Web Dispatcher possono ridurre la superficie raggiungibile, ma non chiudono tutti i percorsi perché il difetto è nel codice condiviso che processa EPP.
È lo stesso principio che vale in altri incidenti ad alta criticità: il controllo perimetrale aiuta, ma non sostituisce la patch del componente vulnerabile. Lo abbiamo visto anche nel caso Cisco IOS XR e Nexus 9000, dove la corretta valutazione dipende dal prodotto coinvolto, dall’esposizione e dalla disponibilità di una correzione ufficiale.
In che ordine conviene intervenire
| Priorità | Sistemi | Azione |
|---|---|---|
| 1 | Web tier SAP esposto a Internet | Verifica e patch immediata |
| 2 | Sistemi interni raggiungibili da molti segmenti | Patch rapida e riduzione della reachability |
| 3 | Test, sviluppo, sistemi legacy | Non escluderli: verificare Kernel e patch level |
| Continuativa | Tutto il landscape | Monitoraggio e inventario aggiornato |
La priorità ai sistemi Internet-facing serve a ridurre il rischio più immediato, non a dichiarare sicuri gli altri. Un attaccante che abbia già ottenuto accesso alla rete tramite phishing, VPN compromessa o un altro host vulnerabile potrebbe tentare di raggiungere sistemi SAP interni.
OVERPASS è già sfruttata negli attacchi?
Al momento non ci sono evidenze pubbliche di sfruttamento in-the-wild riportate da Onapsis. Questo dato va letto correttamente: significa che il ricercatore non ha osservato attacchi reali fino alla pubblicazione del proprio advisory, non che la vulnerabilità sia sicura da lasciare aperta.
Una falla pre-authentication con CVSS 10 in un componente così diffuso ha un valore elevato per un attaccante. Dopo la pubblicazione di una patch, inoltre, le differenze tra build possono aiutare i ricercatori e potenzialmente anche soggetti malevoli a capire dove si trovava il difetto. Per questo la finestra utile è quella prima che compaia uno sfruttamento diffuso, non dopo.
Cosa controllare mentre distribuisci la patch
- connessioni anomale verso ICM, Web Dispatcher, Dispatcher e servizi RFC;
- processi o comandi sul sistema operativo non riconducibili a normali attività amministrative;
- account o modifiche di configurazione inattese;
- nuove persistenze o servizi non autorizzati sul sistema host;
- eventi insoliti nei log SAP e di sistema durante la finestra di esposizione.
Questi controlli servono a individuare anomalie mentre la correzione viene distribuita, ma non costituiscono una firma universale dell’exploit. In assenza di indicatori pubblici affidabili, è meglio evitare regole improvvisate che generino falsi positivi e affidarsi ai log del proprio ambiente, agli advisory SAP e agli aggiornamenti dei vendor di sicurezza.
Per un esempio recente di vulnerabilità già passata allo sfruttamento reale puoi vedere anche il nostro approfondimento su StyleSmuggler in Magento e Adobe Commerce: i due casi hanno tecnologie diverse, ma mostrano perché il tempo tra patch e attacchi può diventare il fattore decisivo.
Cosa fare oggi con CVE-2026-44756
Non aspettare una prova di compromissione per iniziare. Censisci i Kernel SAP, confronta le build con la Security Note 3747649, applica la patch prima ai sistemi più esposti e completa il rollout anche sugli ambienti interni. Riduci nel frattempo la reachability dove possibile e monitora le anomalie.
Il dato da non perdere è questo: OVERPASS non è una falla limitata a una singola schermata o funzione. È nel processing EPP condiviso dal SAP Kernel e può essere raggiunta attraverso più protocolli prima delle normali verifiche di autenticazione. Per questo segmentazione e credenziali forti restano difese utili, ma la chiusura del rischio noto passa dalla patch SAP.
