SAP_SE S4CRM
SAP S4CRM (SAP NetWeaver): esecuzione di codice arbitrario da remoto con pochi privilegi
Il problema, secondo i dati ufficiali
- SAP NetWeaver non esegue i controlli di autorizzazione necessari e non convalida a sufficienza i dati in ingresso in alcune funzioni abilitate all'accesso remoto. Questo permette di inviare dati costruiti ad hoc tramite un'interfaccia remota per iniettare ed eseguire codice arbitrario nel sistema colpito.
- Può sfruttarla un attaccante con privilegi bassi, quindi con un account qualsiasi anche con pochi permessi. L'attacco avviene via rete, anche da internet se il servizio è esposto.
- Lo sfruttamento riuscito potrebbe estendere l'azione dell'attaccante oltre il componente vulnerabile, con impatto alto su riservatezza, integrità e disponibilità.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- S4CRM: versioni 205, 206, 108, 109 e altre elencate dal produttore
Ne parlano
- SAP Security Patch Day — CSIRT Italia, 10 novembre 2026
Fonti ufficiali
- me.sap.com — riferimento
- url.sap — riferimento
Descrizione ufficiale (in inglese)
SAP NetWeaver does not perform necessary authorization checks and lacks sufficient input validation in certain remote-enabled functionality. An attacker with low privileges could send specially crafted input through a remote interface to inject and execute arbitrary code within the affected system. Successful exploitation could extend the attacker's reach beyond the vulnerable component, resulting in a high impact on confidentiality, integrity and availability.
Non sai se ti riguarda?
Se usi SAP_SE S4CRM e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 10 novembre 2026. Prima di intervenire verifica l'avviso del produttore.