SAP corregge quattro falle critiche, tre nel server applicativo NetWeaver
Nel giorno mensile delle patch il vendor chiude quattro vulnerabilità da 10.0 di severità: due consentono l'esecuzione di codice da remoto e nessuna richiede credenziali per essere attaccata.
testo generato con ia, senza revisione umana Scritto da deepseek-flash alle 11:06 del 10 nov 2026 partendo dai titoli elencati in fondo. Errori e imprecisioni sono possibili. Come lavora INNOVAZIONE · Segnala un errore
SAP ha pubblicato il consueto Security Patch Day mensile con quattro correzioni classificate 10.0, il punteggio massimo della scala CVSS. Si tratta di falle che un attaccante può sfruttare senza effettuare il login. Tre riguardano il server applicativo SAP NetWeaver, il software su cui girano i sistemi SAP, e una riguarda un altro componente [6].
Secondo la ricostruzione, due delle quattro vulnerabilità permettono l'esecuzione di codice da remoto. È lo scenario più temuto dagli amministratori di sistemi gestionali: un accesso non autenticato che porta all'esecuzione di comandi sul server, senza bisogno di credenziali valide o di interazione dell'utente [6].
Il peso della notizia sta nella combinazione fra severità e assenza di autenticazione. NetWeaver è la base su cui poggiano molti processi aziendali critici, dalla contabilità alla logistica, e un accesso non autenticato al server applicativo apre la strada a movimenti laterali dentro la rete dell'azienda. Il punteggio 10.0 segnala che il vendor considera lo sfruttamento alla portata di un attaccante con strumenti ordinari [6].
La cadenza mensile delle patch SAP è un appuntamento noto agli amministratori, ma la scala di questo ciclo è insolita: quattro falle al massimo della severità nello stesso giorno. Chi gestisce istanze NetWeaver esposte verso l'esterno ha la priorità più alta; le installazioni interne restano esposte se un aggressore riesce a entrare in rete con altre vie [6].
Resta aperto un punto che il comunicato non chiarisce: se le falle siano state trovate internamente o segnalate dall'esterno, e se esistano indicazioni di sfruttamento già in corso. In assenza di questi elementi, la sola mitigazione disponibile è l'applicazione delle patch nel minor tempo possibile [6].
Chi amministra sistemi SAP deve trattare queste quattro patch come urgenti: si sfruttano senza login e alcune aprono all'esecuzione di codice sul server.
| valore | cosa misura | anno | fonte |
|---|---|---|---|
| 4 vulnerabilità | falle corrette con punteggio CVSS 10.0 | 2026 | [6] |
| 10.0 punteggio CVSS | severità assegnata a ciascuna delle quattro falle | 2026 | [6] |
Altri articoli su Cybersecurity e privacy
tutti →La Francia attribuisce all'Iran l'attacco ai frigoriferi di 700 punti vendita
Parigi indica in un'unità dei Guardiani della rivoluzione la mano dietro il sabotaggio dei controllori di refrigerazione che a ottobre ha alzato le temperature in circa 700 siti commerciali.
Apple corregge nove falle in iOS 27.2.1 e macOS 27.2.1
L'aggiornamento chiude una vulnerabilità in iMessage e problemi in Bluetooth e AirPlay; stavolta l'invito a installare subito riguarda anche i Mac, non solo gli iPhone.
CrowdStrike aggiunge un arresto di emergenza per gli agenti AI in azienda
Il nuovo strumento permette agli amministratori di fermare gli agenti di intelligenza artificiale attivi nelle reti aziendali e di impedirne il riavvio.