SAP_SE SAP NetWeaver AS ABAP (Internet Communication Manager)
SAP NetWeaver AS ABAP (ICM): corruzione di memoria con possibile esecuzione di codice
Il problema, secondo i dati ufficiali
- SAP NetWeaver Application Server ABAP non convalida a sufficienza alcuni dati di rete elaborati da un componente interno. Traffico di rete appositamente costruito può causare una corruzione della memoria.
- Un attaccante non autenticato può sfruttarla via rete, senza bisogno di un account. Se ci riesce, può eseguire codice arbitrario e compromettere completamente il sistema, con impatto elevato su riservatezza, integrità e disponibilità.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- SAP NetWeaver AS ABAP (Internet Communication Manager): versioni 7.54, 7.77, 7.93, 9.16 e altre elencate dal produttore
Ne parlano
- SAP Security Patch Day — CSIRT Italia, 10 novembre 2026
Fonti ufficiali
- me.sap.com — riferimento
- url.sap — riferimento
Descrizione ufficiale (in inglese)
SAP NetWeaver Application Server ABAP does not sufficiently validate certain network input processed by an internal component. An unauthenticated attacker could send specially crafted network traffic to trigger a memory corruption condition in the affected functionality. Successful exploitation could allow the attacker to execute arbitrary code and fully compromise the system, resulting in a high impact on confidentiality, integrity and availability of the system.
Non sai se ti riguarda?
Se usi SAP_SE SAP NetWeaver AS ABAP (Internet Communication Manager) e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 11 novembre 2026. Prima di intervenire verifica l'avviso del produttore.