Vulnerabilități critice în SAP Kernel și NetWeaver Message Server

Pe data de 8 septembrie 2026, în cadrul calendarului lunar de actualizări de securitate (September Security Patch Day), compania SAP a publicat o serie de note de securitate pentru a remedia două vulnerabilități critice care afectează o gamă extinsă de produse SAP. Informațiile, preluate dintr-un avertisment emis de CERT-EU, evidențiază riscuri majore de securitate, cea mai gravă breșă atingând scorul maxim de severitate CVSS 10.0. Ambele probleme tehnice pot fi exploatate de la distanță, fără a fi necesară autentificarea atacatorului, ceea ce expune infrastructurile IT dependente de aceste soluții la riscuri semnificative de compromitere.

Analiza vulnerabilității „OVERPASS” (CVE-2026-44756)

Cea mai severă dintre cele două vulnerabilități a fost identificată sub codul CVE-2026-44756 și a primit denumirea „OVERPASS”. Aceasta este o vulnerabilitate de tip memory corruption (corupere de memorie) localizată în procesul de gestionare a SAP Extended Passport (EPP). Vulnerabilitatea a fost descoperită și raportată în mod responsabil de către cercetătorii de la Onapsis Research Labs (ORL).

Din punct de vedere tehnic, CVE-2026-44756 este extrem de periculoasă, având un scor CVSS de 10.0. Aceasta permite unui atacator extern să interacționeze cu sistemul fără a deține credențiale de acces, exploatând defectul de procesare a memoriei pentru a obține control asupra execuției de cod.

Deficiențe de autentificare în SAP NetWeaver (CVE-2026-58240)

A doua vulnerabilitate critică, denumită „S4GET” și înregistrată ca CVE-2026-58240, afectează componenta SAP NetWeaver Message Server. Problema constă într-o lipsă a verificării autentificării (missing authentication check), ceea ce permite accesul neautorizat la funcționalități care ar trebui să fie protejate.

Cu un scor CVSS de 9.8, această vulnerabilitate este, de asemenea, exploatabilă de la distanță fără autentificare. Similitudinea în vectorul de atac cu vulnerabilitatea „OVERPASS” crește riscul pentru organizațiile care utilizează serverele de mesagerie NetWeaver fără a fi aplicat patch-urile recente.

Impactul tehnic și măsurile de remediere recomandate

Conform analizelor efectuate de cercetătorii care au raportat aceste breșe, exploatarea cu succes a oricăreia dintre cele două vulnerabilități poate avea consecințe severe asupra integrității și confidențialității infrastructurii. Impactul tehnic direct este execuția arbitrară de comenzi la nivel de sistem de operare, procesul rulând sub contul care deține instalarea SAP.

O astfel de breșă conduce inevitabil către:

• Compromiterea completă a sistemului afectat.
• Accesul neautorizat și potențiala exfiltrare a datelor de business stocate în sistem.
• Controlul total al atacatorului asupra resurselor gestionate de instanța SAP respectivă.

Pentru a mitiga aceste riscuri, CERT-EU recomandă ferm administratorilor de sistem și profesioniștilor IT să implementeze cât mai rapid remedierea propusă de producător. Soluțiile specifice se regăsesc în următoarele note de securitate SAP:

• SAP Security Note 3747649
• SAP Security Note 3759472