SAP, patch di ottobre 2026: SSRF OAuth2 con CVSS 10 in Cloud SDK

Martedì 13 ottobre 2026 SAP ha pubblicato il suo Security Patch Day mensile. Il caso più grave è CVE-2026-89111, una vulnerabilità di tipo SSRF (Server-Side Request Forgery) nella gestione dei token OAuth2 di SAP Cloud SDK per Python, con punteggio CVSS 10, il massimo. Insieme a questa SAP ha corretto altre tre vulnerabilità critiche, in NetWeaver Visual Composer, S/4HANA e Manufacturing Integration and Intelligence (MII).

Le fonti non concordano sul conteggio complessivo: SecurityWeek parla di 22 note di sicurezza nuove o aggiornate, quattro delle quali critiche, mentre BleepingComputer riporta 20 vulnerabilità corrette. La differenza può dipendere dal fatto che una nota non corrisponde sempre a una sola vulnerabilità. Lo stesso giorno il Canadian Centre for Cyber Security ha pubblicato l’avviso AV26-1030 con l’elenco dei prodotti e delle versioni colpite.

Cosa è successo

Secondo SecurityWeek, che cita l’avviso pubblicato da SAP su GitHub, CVE-2026-89111 riguarda le applicazioni multi-tenant su SAP Business Technology Platform (BTP) costruite con Cloud SDK per Python. Un attaccante che controlla il parametro tenant_subdomain può dirottare le richieste di token OAuth2 verso un server sotto il suo controllo: in questo modo l’applicazione gli consegna le proprie credenziali client (client ID e segreto). Con quelle credenziali l’attaccante può poi chiedere token a nome dell’applicazione.

SAP, secondo SecurityWeek, non segnala sfruttamenti in corso per nessuna delle vulnerabilità corrette in questo ciclo.

Dettagli tecnici

Le vulnerabilità critiche, con i dati riportati da SecurityWeek (che per tre di esse cita la società di sicurezza Onapsis) e le versioni elencate dal Canadian Centre:

• CVE-2026-89111 (CVSS 10), SSRF OAuth2 in Cloud SDK per Python. Colpisce le applicazioni BTP multi-tenant; il Canadian Centre indica come vulnerabili le versioni di SAP Cloud SDK precedenti alla 0.45.2.
• CVE-2026-89110 (CVSS 9.9), controllo degli accessi errato in alcune funzioni del portale di NetWeaver Visual Composer (VC70RUNTIME 7.50). Secondo Onapsis un attaccante con privilegi bassi può invocare operazioni interne su un sistema remoto già configurato e comprometterlo del tutto.
• CVE-2026-89107 (CVSS 9.9), iniezione di codice in S/4HANA, nella funzione Manage Substitution/Validation Rules (S4CORE 105, 106, 107, 108 e 109). Il processo di definizione delle regole non valida l’input: un utente autenticato con un determinato ruolo di business nelle applicazioni Fiori può inviare dati costruiti ad arte ed eseguire codice ABAP arbitrario, fino a prendere il controllo del sistema.
• CVE-2026-89108 (CVSS 9.1), controllo di autorizzazione mancante in Manufacturing Integration and Intelligence (Configuration Service, versioni 15.5 e XMII 15.4). Chi ha i privilegi XMII Admin può creare un account amministratore sull’application server Java sottostante e compromettere il sistema.

Tra le vulnerabilità di gravità alta, SecurityWeek cita difetti in Commerce Cloud, NetWeaver e ABAP Platform che permettono iniezione SQL, arresto di processi e aggiramento di restrizioni, senza indicare i codici CVE. Il Canadian Centre elenca tra i prodotti colpiti anche:

• SAP Commerce Cloud (OOTB Code), versione COM_CLOUD 2211-JDK21;
• SAP NetWeaver e SAP Web Dispatcher (Internet Communication Manager), versioni HDB 2.00, KRNL64UC 7.53, WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1, CONTSERV 7.53, 7.54, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.19 e 9.20.

In termini MITRE ATT&CK, lo sfruttamento di applicazioni raggiungibili dall’esterno corrisponde in generale a T1190 (Exploit Public-Facing Application), l’uso delle credenziali client sottratte a T1078.004 (Valid Accounts: Cloud Accounts) e la creazione di un amministratore su MII a T1136 (Create Account). Le fonti disponibili non riportano indicatori di compromissione.

Impatto per le aziende europee e italiane

SAP è il cuore gestionale di molte aziende manifatturiere, della distribuzione e della sanità. Tre delle quattro vulnerabilità critiche richiedono un accesso iniziale, anche con pochi privilegi: il rischio maggiore viene quindi da account interni compromessi o da utenti con ruoli più ampi del necessario. CVE-2026-89111 è diversa: tocca il codice delle applicazioni sviluppate su BTP, e quindi chi sviluppa estensioni o servizi multi-tenant, anche tramite fornitori esterni.

Per i soggetti che rientrano nella NIS2 (in Italia il d.lgs. 138/2024) la gestione delle vulnerabilità e la sicurezza della catena di fornitura fanno parte delle misure richieste: conviene chiedere ai fornitori che sviluppano applicazioni BTP se usano Cloud SDK per Python e quando lo aggiorneranno. Un eventuale furto di credenziali client va valutato per la notifica al CSIRT Italia dell’ACN.

Cosa fare subito

1. Cerca Cloud SDK per Python nelle dipendenze delle tue applicazioni BTP, comprese quelle sviluppate da terzi, e aggiornalo alla 0.45.2 o successiva, verificando la versione corretta nell’avviso di SAP. Poi ricompila e ridistribuisci le applicazioni.
2. Valuta la rotazione dei segreti dei client OAuth2 usati dalle applicazioni multi-tenant esposte, se non puoi escludere che siano stati sottratti prima dell’aggiornamento.
3. Controlla i log delle applicazioni e del traffico in uscita: richieste di token verso host diversi dal servizio di autenticazione previsto sono un segnale da approfondire.
4. Applica le note di ottobre a NetWeaver Visual Composer, S/4HANA (S4CORE 105–109) e MII, poi a Commerce Cloud, al kernel di NetWeaver e a Web Dispatcher, partendo dai sistemi raggiungibili da Internet.
5. Riduci i privilegi in attesa delle patch: rivedi chi ha il ruolo per definire regole di sostituzione e validazione in S/4HANA e chi ha i privilegi XMII Admin su MII.
6. Verifica gli account amministrativi degli application server Java che ospitano MII, alla ricerca di utenti creati di recente e non previsti.

Come aiuta ARXDOME

ARX Shield elenca le vulnerabilità aperte per macchina e per pacchetto sulle macchine monitorate, e ne mostra l’età: aiuta a seguire i sistemi ancora da aggiornare. ARX Expose mostra quali servizi la tua azienda espone su Internet e quali prodotti vi sono riconosciuti, utile per capire se un Web Dispatcher o un portale SAP è raggiungibile da fuori. ARX Sentry, nelle pagine SOC dedicate alle identità, mostra gli accessi privilegiati e le modifiche agli account.

Ultimo aggiornamento: 14 ottobre 2026