SAP_SE SAP NetWeaver e ABAP Platform
SAP NetWeaver AS ABAP e ABAP Platform: esecuzione di comandi sul sistema operativo
Il problema, secondo i dati ufficiali
- SAP NetWeaver Application Server ABAP e ABAP Platform non eseguono i controlli di autorizzazione necessari per alcune funzioni interne. Un attaccante può richiamare queste funzioni ed eseguire comandi arbitrari del sistema operativo sul server che ospita il sistema.
- Può sfruttarla un utente con privilegi bassi, tramite rete e con un account qualsiasi, anche con pochi permessi. Lo sfruttamento può avere effetti anche su risorse esterne al componente vulnerabile, con impatto elevato su riservatezza, integrità e disponibilità del sistema.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- SAP NetWeaver e ABAP Platform: versioni 7.22EXT, 7.53, 7.54, 7.77 e altre elencate dal produttore
Ne parlano
- SAP Security Patch Day — CSIRT Italia, 10 novembre 2026
Fonti ufficiali
- me.sap.com — riferimento
- url.sap — riferimento
Descrizione ufficiale (in inglese)
SAP NetWeaver Application Server ABAP and ABAP Platform does not perform necessary authorization checks for certain internal functionality. An attacker with low privileges could invoke affected functionality to execute arbitrary operating system commands on the underlying host. Successful exploitation could impact resources beyond the vulnerable component, resulting in a high impact on confidentiality, integrity and availability of the system.
Non sai se ti riguarda?
Se usi SAP_SE SAP NetWeaver e ABAP Platform e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 11 novembre 2026. Prima di intervenire verifica l'avviso del produttore.