SAP ha corretto due vulnerabilità critiche che meritano priorità immediata: OVERPASS (CVE-2026-44756), CVSS 10.0, nel processing Extended Passport del SAP Kernel e S4GET (CVE-2026-58240), CVSS 9.8, nel Message Server di SAP NetWeaver. Entrambe possono essere sfruttate da remoto senza autenticazione, ma colpiscono componenti e meccanismi differenti.
La decisione operativa è semplice: se gestisci sistemi SAP basati sui Kernel interessati, verifica subito il livello di patch e applica le SAP Security Note 3747649 e 3759472 dove pertinenti. Al 9 settembre 2026 Onapsis dichiara di non aver osservato sfruttamento attivo in-the-wild per OVERPASS; la gravità delle due falle rende comunque sconsigliabile attendere evidenze di attacco prima di intervenire.
SAP OVERPASS e S4GET in breve: chi deve preoccuparsi
| Voce | OVERPASS | S4GET |
|---|---|---|
| CVE | CVE-2026-44756 | CVE-2026-58240 |
| Gravità | CVSS 10.0 | CVSS 9.8 |
| Componente | Extended Passport processing nel SAP Kernel | SAP NetWeaver Message Server |
| Autenticazione necessaria | No | No |
| Attacco remoto | Sì | Sì, con accesso di rete al Message Server |
| Security Note | 3747649 | 3759472 |
La pagina ufficiale SAP Security Patch Day di settembre 2026 classifica entrambe come Critical. La CVE-2026-44756 riceve il punteggio massimo di 10.0, mentre CVE-2026-58240 è valutata 9.8.
Perché CVE-2026-44756 è diversa da una normale falla applicativa
OVERPASS si trova nel codice che gestisce l’Extended Passport, EPP, una struttura usata da SAP per trasportare informazioni di tracing tra componenti e richieste. Secondo Onapsis Research Labs, durante la deserializzazione dei dati EPP mancano controlli adeguati sui limiti di alcuni campi. Un input appositamente costruito può quindi causare una violazione di sicurezza della memoria.
Il punto più importante non è il dettaglio del bug, ma dove viene elaborato. EPP è gestito da codice condiviso del Kernel prima che entrino in gioco molte delle normali verifiche di autenticazione e autorizzazione. Per questo la falla può essere raggiunta senza credenziali e attraverso più percorsi.
Quali componenti SAP possono esporre OVERPASS
SAP elenca tra le versioni interessate diversi rami di KERNEL, KRNL64UC, KRNL64NUC e Web Dispatcher. L’elenco preciso dipende da release e patch level, quindi non va dedotto dal nome commerciale del prodotto: la verifica corretta si fa confrontando il Kernel installato con la Security Note 3747649.
Onapsis segnala almeno tre superfici attraverso cui il codice EPP può essere raggiunto:
- Web layer: Internet Communication Manager e SAP Web Dispatcher, usati da Fiori, WebGUI, servizi web e API.
- SAP GUI layer: il Dispatcher che riceve le connessioni dei client SAP GUI.
- RFC layer: le connessioni Remote Function Call utilizzate tra sistemi SAP e integrazioni.
Questo significa che limitarsi a cercare i server pubblicati su Internet può sottostimare il problema. Anche un sistema interno può essere raggiungibile da utenti o host già presenti nella rete aziendale.
S4GET CVE-2026-58240: cosa cambia nel Message Server
S4GET è una vulnerabilità distinta da OVERPASS. SAP la descrive come una mancanza di verifica dell’autenticazione nel SAP NetWeaver Message Server. Il riferimento è la Security Note 3759472 e le linee di Kernel indicate da SAP sono 9.16, 9.18, 9.19 e 9.20.
Secondo Onapsis, il Message Server non valida in modo sufficiente l’autenticità dei componenti application server durante la registrazione. Un attaccante non autenticato che riesce a raggiungere il servizio può quindi tentare di registrare componenti non autorizzati e compiere azioni all’interno dell’ambiente SAP.
La falla interessa la famiglia moderna di Kernel 9.x usata da sistemi SAP S/4HANA e potenzialmente da altri prodotti ABAP che adottano quei rami. Non va quindi trattata come un problema generico di configurazione: Onapsis la definisce una logic flaw e la correzione passa dalla patch ufficiale.
Come capire se un sistema SAP è vulnerabile
- Fai un inventario dei sistemi SAP, inclusi ambienti di test, sviluppo e istanze meno visibili.
- Rileva release e patch level del Kernel di ciascun sistema.
- Confronta i sistemi interessati da EPP con la SAP Security Note 3747649.
- Verifica se sono presenti Kernel 9.16, 9.18, 9.19 o 9.20 e confrontali con la Security Note 3759472 per S4GET.
- Segna quali sistemi hanno interfacce web o Message Server raggiungibili da reti non fidate.
- Verifica anche quali host interni possono raggiungere SAP GUI, Dispatcher, RFC e Message Server.
- Ordina il rollout partendo dai sistemi più esposti, senza escludere quelli interni.
Non usare il solo CVE scanner generico come unica prova di sicurezza. Per vulnerabilità nel Kernel e nel Message Server la fonte autorevole resta il livello di patch indicato da SAP. Un asset può non essere direttamente esposto sul web ma essere comunque in scope attraverso altri protocolli o segmenti di rete.
La patch è la mitigazione da considerare definitiva
Per OVERPASS, Onapsis è esplicita: applicare la SAP Security Note 3747649 è la correzione definitiva. Segmentazione, ACL, jump host e Web Dispatcher possono ridurre la superficie raggiungibile, ma non chiudono tutti i percorsi perché il difetto è nel codice condiviso che processa EPP.
Per S4GET la priorità è applicare la Security Note 3759472 ai sistemi coinvolti. Limitare la raggiungibilità del Message Server da reti non necessarie riduce l’esposizione, ma non trasforma una build vulnerabile in una build corretta.
È lo stesso principio che vale in altri incidenti ad alta criticità: il controllo perimetrale aiuta, ma non sostituisce la patch del componente vulnerabile. Lo abbiamo visto anche nel caso Cisco IOS XR e Nexus 9000, dove la corretta valutazione dipende dal prodotto coinvolto, dall’esposizione e dalla disponibilità di una correzione ufficiale.
In che ordine conviene intervenire
| Priorità | Sistemi | Azione |
|---|---|---|
| 1 | Web tier SAP o Message Server raggiungibili da reti non fidate | Verifica e patch immediata |
| 2 | Sistemi interni raggiungibili da molti segmenti | Patch rapida e riduzione della reachability |
| 3 | Test, sviluppo, sistemi legacy | Non escluderli: verificare Kernel e patch level |
| Continuativa | Tutto il landscape | Monitoraggio e inventario aggiornato |
La priorità ai sistemi più esposti serve a ridurre il rischio immediato, non a dichiarare sicuri gli altri. Un attaccante che abbia già ottenuto accesso alla rete tramite phishing, VPN compromessa o un altro host vulnerabile potrebbe tentare di raggiungere sistemi SAP interni.
OVERPASS e S4GET sono già sfruttate negli attacchi?
Al momento non ci sono evidenze pubbliche di sfruttamento in-the-wild riportate da Onapsis per OVERPASS. Questo dato va letto correttamente: significa che il ricercatore non aveva osservato attacchi reali fino alla pubblicazione del proprio advisory, non che la vulnerabilità sia sicura da lasciare aperta.
Per S4GET il punto operativo resta lo stesso: una falla pre-authentication con CVSS 9.8 nel Message Server ha un valore elevato per un attaccante. La disponibilità della patch riduce il motivo per rimandare l’intervento, anche in assenza di una campagna pubblicamente documentata.
Dopo la pubblicazione di una patch, inoltre, le differenze tra build possono aiutare i ricercatori e potenzialmente anche soggetti malevoli a capire dove si trovava il difetto. Per questo la finestra utile è quella prima che compaia uno sfruttamento diffuso, non dopo.
Cosa controllare mentre distribuisci le patch
- connessioni anomale verso ICM, Web Dispatcher, Dispatcher, servizi RFC e Message Server;
- registrazioni inattese di componenti o application server verso il Message Server;
- processi o comandi sul sistema operativo non riconducibili a normali attività amministrative;
- account o modifiche di configurazione inattese;
- nuove persistenze o servizi non autorizzati sul sistema host;
- eventi insoliti nei log SAP e di sistema durante la finestra di esposizione.
Questi controlli servono a individuare anomalie mentre la correzione viene distribuita, ma non costituiscono una firma universale dell’exploit. In assenza di indicatori pubblici affidabili, è meglio evitare regole improvvisate che generino falsi positivi e affidarsi ai log del proprio ambiente, agli advisory SAP e agli aggiornamenti dei vendor di sicurezza.
Per un esempio recente di vulnerabilità già passata allo sfruttamento reale puoi vedere anche il nostro approfondimento su StyleSmuggler in Magento e Adobe Commerce: i due casi hanno tecnologie diverse, ma mostrano perché il tempo tra patch e attacchi può diventare il fattore decisivo.
Cosa fare oggi con OVERPASS e S4GET
Non aspettare una prova di compromissione per iniziare. Censisci i Kernel SAP, confronta le build con le Security Note 3747649 e 3759472, applica le patch prima ai sistemi più esposti e completa il rollout anche sugli ambienti interni. Riduci nel frattempo la reachability dove possibile e monitora le anomalie.
Il dato da non perdere è la distinzione tra le due falle: OVERPASS è nel processing EPP condiviso dal SAP Kernel; S4GET riguarda la verifica dei componenti che si registrano al NetWeaver Message Server. Sono due percorsi diversi verso un rischio critico e richiedono due verifiche di patch separate.
Entra nella conversazione
Condividi il tuo punto di vista: non serve creare un account. I contributi restano soggetti alla moderazione editoriale.