note

Le tre CVE a priorità critical richiedono attenzione immediata per la combinazione di CVSS massimale e vettore di attacco.

CVE-2026-27671 (CVSS 10, AV:N/AC:L/PR:N/UI:N/S:U): sfruttabile remotamente senza autenticazione né interazione utente, con complessità bassa. Il difetto risiede nella validazione del protocollo RFC nel SAP Kernel; l'errore logico nella gestione della memoria (CWE-121, stack-based buffer overflow) produce corruzione di memoria. Impatto CIA completo. Componenti affetti: KRNL64UC, KRNL64NUC, KERNEL a partire dalla versione 7.22, più release 91.9, 9.18, 9.16, 722EXT, 7.93, 7.89, 7.77, 7.54, 7.53, 7.22EXT.

CVE-2026-44748 (CVSS 10, AV:N/AC:L/PR:L/UI:N/S:C): richiede un attaccante autenticato con privilegi standard, ma lo scope è Changed — l'impatto si estende oltre il processo corrente. Il meccanismo XML Signature Wrapping (CWE-347) consente l'invio di documenti XML firmati modificati al verificatore SAML. Impatto CIA completo. Componenti affetti: SAP_BASIS dalla versione 702 a 919.

CVE-2026-40128 (CVSS 9, AV:N/AC:H/PR:N/UI:N/S:C): vettore remoto senza autenticazione, complessità alta, scope Changed. Path traversal (CWE-35) tramite manipolazione dei parametri di file inclusion nella richiesta HTTP di logon al Web Container di NetWeaver AS Java. Impatto CIA completo. Componente affetto: ENGINEAPI 7.50.

Tra le CVE high, CVE-2026-22732 (Spring Security, AV:N/AC:L/PR:N/UI:N) impatta applicazioni servlet che usano lazy writing degli HTTP header nelle versioni 5.7.x, 5.8.x, 6.3.x, 6.4.x, 6.5.x e 7.0.x; la CWE-425 indica che le protezioni basate su header possono essere bypassate da richieste dirette. CVE-2026-29145 (Apache Tomcat/Tomcat Native, AV:N/AC:L/PR:N/UI:N) colpisce CLIENT_CERT authentication con soft-fail OCSP non correttamente disabilitabile; versioni affette: Tomcat 9.0.83–9.0.115, 10.1.0–10.1.52, 11.0.0–11.0.19; Tomcat Native 1.1.23–1.3.6 e 2.0.0–2.0.13.

CVE-2026-44744 (SAP S/4HANA, AV:N/AC:L/PR:L/UI:N/S:U): SQL injection in function module remote-enabled, richiede autenticazione con privilegi bassi; impatto sulla sola confidenzialità. Versioni S4FND dalla 102 alla 109.

CVE-2026-44751 (AS ABAP, AV:N/AC:L/PR:L/UI:N/S:U): missing authorization (CWE-862) consente a utente autenticato l'esecuzione di report con sovrascrittura di dati di altri utenti; impatto su integrità e disponibilità parziale. CVE-2026-44754 (ODP-RFC, AV:N/AC:H/PR:H/UI:N/S:C): missing caller identification negli RFC modules ODP-RFC, scope Changed; richiede privilegi elevati e alta complessità. Impatto su confidenzialità e disponibilità parziale.

Le due XSS (CVE-2026-44746 su NetWeaver AS Java JDBC Test Servlet, AV:N/AC:L/PR:N/UI:R/S:C; CVE-2026-44757 su SAP Wily Introscope, AV:N/AC:H/PR:N/UI:R/S:C) sono entrambe reflected con scope Changed, ma richiedono interazione utente.

CVE-2025-68161 (Apache Log4j Core, CVSS 4.0 score 6.3, AV:N/AC:H/AT:N/PR:N/UI:N): assenza di verifica TLS hostname nel Socket Appender (CWE-297) anche quando esplicitamente configurata; impatto limitato a confidenzialità locale e integrità del sistema secondario. Versioni affette: 2.0-beta9 fino a 2.25.2 e 3.0.0-alpha1 fino a 3.0.0-beta3.

Non risultano a oggi CVE nel catalogo CISA KEV, exploit in the wild o proof-of-concept pubblici.