Il bollettino SAP si allarga oltre i server già censiti
Al secondo giorno, il bollettino di novembre di SAP è passato dalle quattro vulnerabilità critiche iniziali a 35 nuove note, estendendo la copertura ad altri prodotti, tra cui Knowledge Management e BusinessObjects. Non è un unico exploit: sono coinvolti componenti e servizi SAP diversi, senza nuove evidenze di sfruttamento attivo.
Una falla in SAP ABAP permette di accettare alcune asserzioni di autenticazione senza verificarle correttamente: un’asserzione contraffatta può essere trattata come un login valido. Altre vulnerabilità riguardano servizi raggiungibili senza autenticazione o i controlli di accesso, quindi non richiedono sempre una sessione già aperta.
Il perimetro comprende installazioni ABAP e Java, Gateway, BusinessObjects e servizi incorporati, come Web Dispatcher in HANA XS. Limitarsi a verificare i server evidenziati all’inizio può lasciare esposti componenti gestiti separatamente o inclusi in altri prodotti: il bollettino amplia l’inventario da considerare, non soltanto il numero di patch SAP da registrare.
CVE in questo aggiornamento
45 CVE
Distribuite tra SAP WebClient UI, SAP NetWeaver AS ABAP (Internet Communication Manager), SAP Gateway e altri pacchetti correlati.
SAP heeft meerdere kwetsbaarheden verholpen in diverse SAP-producten, waaronder SAP NetWeaver Application Server ABAP, SAP NetWeaver AS Java, SAP Web Dispatcher, SAP BusinessObjects Business Intelligence Platform, SAP Cloud SDK, SAP Host Agent, SAP NetWeaver Enterprise Portal, SAP NetWeaver Visual Composer, en SAP Solution Tools Plug-In.
Nell’ambito del Security Patch Day di novembre, SAP rilascia aggiornamenti di sicurezza per risolvere 42 nuove vulnerabilità, di cui 9 con gravità “critica” e 19 con gravità “alta”.
SAP patched 35 vulnerabilities in its November 2026 security updates, including four maximum-severity issues affecting its NetWeaver, Web Dispatcher, and Gateway software.