A SAP publicou em 10 de novembro de 2026 um conjunto de correções que exige atenção imediata de empresas dependentes de seus sistemas de gestão. Quatro vulnerabilidades receberam a pontuação máxima de severidade, CVSS 10.0, e atingem componentes responsáveis por receber conexões, integrar servidores e autenticar usuários em ambientes SAP. Em determinadas condições, os problemas podem permitir execução remota de código, falsificação da identidade de servidores e acesso a contas sem autenticação válida. O pacote mensal reuniu 35 novas notas de segurança, quatro avisos publicados no GitHub e três atualizações de notas anteriores. O volume, por si só, não explica a urgência. O risco está na localização das falhas: o Internet Communication Manager (ICM) e o Web Dispatcher processam tráfego de rede; o SAP Gateway intermedeia a comunicação entre componentes; e o provedor de serviço SAML 2.0 participa do processo de autenticação federada. Quando esses pontos falham, o atacante pode atingir camadas que sustentam operações de ERP, finanças, logística, manufatura e gestão de pessoas. A investigação conduzida pela Onapsis Research Labs, que colaborou com a SAP na correção de várias vulnerabilidades, detalha mecanismos distintos para os problemas mais graves. A divulgação das falhas não equivale, entretanto, à confirmação de uma invasão em andamento. Até a conclusão desta apuração, não havia evidência pública confirmada de exploração ativa das quatro CVEs com nota 10.0. A avaliação de risco deve considerar a possibilidade de exploração e a exposição efetiva de cada instalação, sem transformar um alerta preventivo em relato de ataque já ocorrido.
O que falhou nos componentes que protegem e conectam o SAP
As vulnerabilidades CVE-2026-76964 e CVE-2026-89126 afetam, respectivamente, o ICM do SAP NetWeaver AS ABAP e o SAP Web Dispatcher. Ambas estão relacionadas à validação insuficiente de parâmetros de tamanho em quadros de controle WebSocket. Segundo a Onapsis, um invasor sem credenciais que consiga alcançar o componente pela rede pode enviar tráfego especialmente preparado para provocar corrupção de memória. Em um cenário de exploração bem-sucedida, essa condição pode permitir execução de código arbitrário e comprometimento do sistema. Os pesquisadores reuniram as duas falhas sob o nome ICM2SHELL. O ICM gerencia comunicações HTTP e outros protocolos utilizados por aplicações SAP, enquanto o Web Dispatcher costuma atuar como ponto de entrada e distribuição de requisições. Isso amplia a relevância das falhas em arquiteturas que expõem serviços de negócio à internet, parceiros ou redes corporativas extensas. A exploração não depende necessariamente de um usuário clicar em um link ou abrir um arquivo: o requisito determinante é a possibilidade de alcançar o serviço vulnerável. A SAP publicou as notas 3778530, para o ICM, e 3778556, para o Web Dispatcher. Desabilitar WebSocket pode reduzir a exposição em algumas instalações, mas a Onapsis alerta para impactos relevantes em aplicações e integrações; por isso, a medida não substitui a atualização e exige avaliação operacional. A CVE-2026-89103, corrigida pela nota 3798345, revela um problema diferente. No SAP Gateway, a lista de controle de acesso padrão podia operar com privilégios excessivos, permitindo que uma origem externa fosse tratada como servidor de aplicação interno. A Onapsis denominou a falha PROXYGATE. Um invasor com conectividade ao Gateway poderia, assim, executar ações não autorizadas no ambiente. Há uma particularidade crítica para os administradores: além de instalar a correção, é necessário ajustar manualmente um parâmetro de perfil indicado pela nota oficial. A aplicação isolada do patch, sem a configuração exigida, não deve ser considerada conclusão do tratamento. A quarta falha máxima, CVE-2026-120017, afeta o provedor de serviço SAML 2.0 no SAP NetWeaver AS ABAP e na ABAP Platform. Em determinadas configurações, a verificação insuficiente de declarações de autenticação recebidas permite que dados especialmente preparados sejam aceitos de maneira indevida. O resultado potencial é o bypass da autenticação e a personificação de usuários, inclusive contas privilegiadas. A nota correspondente é a 3849308. A falha não significa que toda implementação SAML 2.0 esteja vulnerável, mas exige identificar quais ambientes utilizam o componente e conferir os pré-requisitos descritos pela SAP. Esses quatro casos não representam um único ataque nem compartilham obrigatoriamente a mesma causa de programação. Há problemas de segurança de memória, controle de acesso e validação de autenticação. O elo comum é a possibilidade de romper fronteiras de confiança em componentes fundamentais da arquitetura SAP. Em um sistema de gestão empresarial, essa fronteira pode separar uma requisição externa de operações que alteram pedidos, pagamentos, registros contábeis ou dados de funcionários.
Notícias Relacionadas
Por que o risco ultrapassa a equipe de infraestrutura
Em organizações que utilizam SAP como núcleo transacional, um comprometimento pode interromper faturamento, processamento de pedidos, movimentação de estoques e conciliação financeira. A execução de código em um componente de entrada pode abrir caminho para acesso a dados e movimentação lateral; uma autenticação burlada pode permitir ações sob a identidade de um usuário legítimo; e uma relação de confiança indevida no Gateway pode comprometer comunicações entre instâncias. São consequências tecnicamente possíveis, não impactos já demonstrados em empresas específicas nesta divulgação. Além das quatro falhas de nota máxima, o ciclo incluiu vulnerabilidades CVSS 9.9 de injeção de código no NetWeaver Knowledge Management, injeção de comandos do sistema operacional em componentes ABAP e ausência de verificação de autorização no S4CRM. Também foram corrigidos problemas de CSRF no Web Dispatcher e ICM e de entidades externas XML no BusinessObjects. O inventário precisa, portanto, considerar todo o pacote e não apenas os quatro identificadores mais divulgados. A situação cria um desafio conhecido pelas equipes de segurança: atualizar sistemas SAP frequentemente exige coordenação entre BASIS, infraestrutura, desenvolvimento ABAP, gestores de aplicações e áreas de negócio. Correções de kernel podem demandar reinicialização e testes de regressão, enquanto alterações em autenticação e parâmetros de perfil podem afetar integrações críticas. Adiar indefinidamente a manutenção para evitar indisponibilidade, porém, mantém abertas vulnerabilidades que atingem justamente os mecanismos de entrada e confiança do ambiente.
Como corrigir sem transformar a manutenção em outra crise
A primeira providência é identificar quais instâncias executam as versões e os componentes citados nas notas 3778530, 3778556, 3798345 e 3849308. A lista pública da SAP inclui versões de kernel, Web Dispatcher e SAP_BASIS, mas a confirmação do nível corrigido e das instruções aplicáveis depende da consulta às SAP Notes no portal de suporte. Não é seguro presumir que a atualização de um único servidor resolva o problema em toda a paisagem SAP: instâncias redundantes, sistemas de desenvolvimento, homologação, produção e componentes integrados podem exigir intervenções diferentes. Na priorização, Web Dispatcher e ICM alcançáveis a partir da internet ou de redes de terceiros devem receber atenção imediata, seguidos por SAP Gateway acessível e ambientes que utilizam SAML 2.0 nas configurações afetadas. A exposição interna não torna uma falha irrelevante: um atacante que já tenha acesso a uma estação, uma VPN ou uma rede de parceiro pode alcançar serviços que não estão publicados diretamente na internet. O tratamento deve considerar criticidade dos processos, segmentação, privilégios e possibilidade real de exploração, além da pontuação CVSS. Antes de aplicar as mudanças, é recomendável preservar configurações, confirmar backups e procedimentos de restauração, revisar dependências e executar testes de regressão em ambiente representativo. Em produção, as equipes devem planejar janelas de manutenção e estratégias de atualização escalonada quando a arquitetura permitir. Para a CVE-2026-89103, a verificação posterior precisa incluir expressamente o parâmetro de perfil exigido pela SAP. Para a CVE-2026-120017, deve abranger os fluxos de autenticação federada e o comportamento das integrações com provedores de identidade. Enquanto as correções não forem concluídas, é prudente restringir o alcance de portas e serviços SAP, limitar origens autorizadas, revisar regras de firewall e segmentação, monitorar tráfego anômalo nos componentes de entrada e reforçar a observação de alterações de configuração e autenticações inesperadas. Essas medidas reduzem a superfície exposta, mas não eliminam a vulnerabilidade. Também convém preservar logs do Web Dispatcher, ICM, Gateway, autenticação e sistema operacional para permitir investigação caso surjam indícios de exploração. Após a atualização, a conclusão deve ser comprovada por versão instalada, configuração aplicada, teste funcional e nova avaliação de vulnerabilidades. A governança precisa registrar responsáveis, exceções temporárias e prazo de eliminação do risco residual. Para empresas brasileiras dependentes de SAP, a decisão é operacional e executiva: proteger a plataforma exige equilibrar continuidade de negócios e correção rápida, com prioridade especial para componentes que podem ser alcançados sem autenticação. A divulgação de novembro mostra que uma pontuação máxima merece urgência, mas a resposta eficaz depende de conhecer a arquitetura real e demonstrar que as correções foram efetivamente implementadas.
Be the first to comment