Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
SAP ha chiuso una gravissima vulnerabilità RCE nel nucleo del suo sistema, denominata OVERPASS (CVE-2026-44756). La falla, scoperta da Onapsis, permette di bypassare la verifica dell'accesso e ottenere il controllo del server, accedendo a dati utente, finanziari e aziendali. La vulnerabilità è presente in prodotti come SAP S/4HANA e SAP ERP.
Una richiesta specificamente formattata a SAP può bypassare la verifica dell’accesso, raggiungere il kernel e concedere a un malintenzionato il controllo del server. Di conseguenza, l’attaccante ottiene accesso non solo all’applicazione, ma anche ai dati utente, alle sessioni attive, alle informazioni finanziarie e ad altri dati aziendali dell’azienda.
La vulnerabilità critica nello specifico è il CVE-2026-44756, la quale ha ricevuto il punteggio massimo di 10 secondo CVSS ed è stata denominata OVERPASS. Il problema risiede nel codice del kernel SAP, che gestisce il protocollo Extended Passport Protocol (EPP).
SAP utilizza EPP per tracciare le richieste e monitorare le chiamate tra sistemi collegati.
Il principale pericolo è legato al momento in cui viene elaborato l’EPP. Il kernel analizza la struttura durante l’apertura di una nuova sessione, prima ancora dell’autenticazione dell’utente. Pertanto, il blocco degli account, le password complesse, i ruoli e i limiti di autorizzazione non impediscono l’attacco. Una richiesta specificamente formattata consente di prendere il controllo del processo ed eseguire comandi arbitrari del sistema operativo con privilegi amministrativi SAP.
Il problema coinvolge diversi percorsi di accesso. L’attaccante può raggiungere il codice vulnerabile attraverso lo strato web di SAP Internet Communication Manager e SAP Web Dispatcher, le connessioni SAP GUI o Remote Function Call. La chiusura di un protocollo riduce la superficie di attacco, ma non elimina la vulnerabilità stessa.
Dopo un attacco riuscito, il malintenzionato è in grado di leggere SAP Secure Store, estrarre le credenziali di accesso ai database e gli hash delle password, intercettare i dati delle sessioni utente attive e ottenere le credenziali salvate per spostarsi tra i sistemi SAP collegati. L’accesso consente anche di modificare la configurazione, le applicazioni e i file binari SAP stessi. Tra gli scenari possibili, gli esperti citano il furto di informazioni finanziarie e del personale, la modifica dei dati bancari dei fornitori, la creazione di utenti privilegiati, l’installazione di backdoor e l’avvio di ransomware.
OVERPASS è presente nel codice generale del kernel, quindi il numero di prodotti potenzialmente interessati è ampio. Tra questi rientrano SAP S/4HANA, SAP ERP e Business Suite, NetWeaver Application Server ABAP, Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO, Solution Manager e altre soluzioni basate sullo stesso kernel. Gli esperti di Onapsis hanno identificato più di 10.000 indirizzi IP univoci con interfacce web SAP accessibili da Internet e considerano tale stima conservativa.
Al momento della pubblicazione, il team di Onapsis non ha riscontrato segni di sfruttamento di OVERPASS in attacchi reali. Tuttavia, gli incidenti passati hanno dimostrato che i malintenzionati sono in grado di analizzare le patch di sicurezza rilasciate da SAP e passare allo sfruttamento di errori critici in pochi giorni. Pertanto, gli amministratori sono invitati a verificare innanzitutto le versioni del kernel sui sistemi accessibili da Internet, per poi aggiornare quelli interni, di test e dimenticati.
SAP ha risolto la vulnerabilità nell’ambito degli aggiornamenti di sicurezza di settembre 2026, rilasciando la Security Note 3747649. Un set di patch del kernel copre tutti i percorsi di sfruttamento noti di CVE-2026-44756.
Secondo Onapsis, l’unico modo per eliminare completamente il rischio è aggiornare il kernel. I limiti di rete possono temporaneamente ridurre la superficie di attacco, ma non proteggono tutte le interfacce contemporaneamente, poiché l’EPP vulnerabile viene elaborato attraverso diversi protocolli prima della verifica delle autorizzazioni.
È uscito il sesto episodio di Betti-RHC, la serie a fumetti di Red Hot Cyber nata con l'obiettivo di trasformare la cybersecurity awareness in un'esperienza di formazione più semplice, coinvolgente e accessibile. Quello che è nato come un progetto editoriale innovativo è diventato negli anni un vero e proprio corso di cybersecurity awareness a fumetti, adottato da aziende e professionisti per sensibilizzare le persone sui rischi informatici attraverso storie, personaggi ed emozioni. In cinque anni di attività, la serie Betti-RHC ha raggiunto un risultato importante: circa 70.000 copie vendute, a testimonianza dell'interesse crescente delle organizzazioni verso nuovi strumenti per costruire una concreta cultura della sicurezza.
Il sesto episodio porta Betti dentro le nostre case, in un mondo "connesso", dove lampadine, telecamere, assistenti vocali, serrature, sensori ed elettrodomestici intelligenti promettono comfort e sicurezza, ma possono nascondere nuove e insidiose superfici di attacco. Attraverso una nuova avventura, Betti ci accompagna alla scoperta del mondo della domotica e dei dispositivi IoT, mostrando come la poca cautela nell'utilizzo di queste tecnologie possa trasformare oggetti quotidiani in porte d'accesso per chi vuole osservare, controllare o colpire.
Per accompagnare la crescita del progetto abbiamo realizzato il sito ufficiale di Betti-RHC, dove è possibile conoscere meglio la serie, gli episodi e il progetto di cybersecurity awareness sviluppato da Red Hot Cyber. L'obiettivo è continuare a portare la cultura della sicurezza fuori dai tradizionali percorsi formativi standard, utilizzando il linguaggio immediato del fumetto per parlare a dipendenti, professionisti e persone senza competenze tecniche. Per maggiori informazioni su Betti-RHC e sul sesto episodio “Open Mic” è possibile visitare il sito ufficiale: betti.redhotcyber.com.