SAP corrige quatro falhas críticas que podem comprometer sistemas empresariais
Em 10 de novembro de 2026, a SAP divulgou um pacote de segurança com quatro vulnerabilidades classificadas com pontuação máxima, CVSS 10.0. As falhas afetam componentes usados para receber conexões, encaminhar tráfego e autenticar usuários. Dependendo da configuração e da exposição de cada ambiente, elas podem abrir caminho para execução remota de código, ações não autorizadas ou falsificação de identidade durante a autenticação.
A atualização mensal reúne 35 novas notas de segurança, quatro avisos publicados no GitHub e três revisões de comunicados anteriores. O número de itens, porém, não é o principal motivo para agir rapidamente: as vulnerabilidades mais graves estão em partes importantes da infraestrutura SAP, que dão suporte a operações como finanças, logística, manufatura e gestão de pessoas.
As falhas atingem o Internet Communication Manager (ICM) do SAP NetWeaver AS ABAP, o SAP Web Dispatcher, o SAP Gateway e o provedor de serviço SAML 2.0. Em conjunto, esses componentes gerenciam comunicações, conectam sistemas e participam do controle de acesso. Um problema nessas camadas pode, portanto, ter efeitos que vão além de um servidor isolado.
ICM e Web Dispatcher: risco de execução de código
As vulnerabilidades CVE-2026-76964 e CVE-2026-89126 afetam, respectivamente, o ICM do SAP NetWeaver AS ABAP e o SAP Web Dispatcher. Ambas decorrem da validação insuficiente de parâmetros de tamanho em quadros de controle WebSocket.
De acordo com a análise da Onapsis Research Labs, um invasor sem credenciais que consiga se conectar ao serviço pode enviar tráfego especialmente preparado e causar corrupção de memória. Se a exploração for bem-sucedida, a condição pode permitir a execução de código arbitrário e comprometer o sistema. Os pesquisadores agruparam os dois problemas sob o nome ICM2SHELL.
O ICM administra comunicações HTTP e outros protocolos utilizados por aplicações SAP. Já o Web Dispatcher costuma receber e distribuir solicitações. Por isso, a exposição desses componentes à internet, a parceiros ou a redes corporativas amplas torna as falhas especialmente relevantes. Em determinadas condições, o ataque não depende de uma vítima abrir um arquivo ou clicar em um link: o ponto decisivo é a possibilidade de alcançar o serviço vulnerável pela rede.
A SAP disponibilizou as notas 3778530, para o ICM, e 3778556, para o Web Dispatcher. Desabilitar WebSocket pode diminuir a exposição em alguns ambientes, mas também pode interromper aplicações e integrações que dependem desse recurso. Essa alternativa deve ser avaliada com cuidado e não substitui a instalação das correções.
SAP Gateway: correção e ajuste de configuração
A CVE-2026-89103 está relacionada ao SAP Gateway e foi tratada na nota 3798345. O problema envolve uma lista de controle de acesso padrão com privilégios excessivos: em certas circunstâncias, uma origem externa poderia ser considerada um servidor de aplicação interno. A Onapsis identificou a vulnerabilidade como PROXYGATE.
Com conectividade ao Gateway, um invasor poderia realizar ações não autorizadas no ambiente. Nesse caso, atualizar o software não basta. A SAP também determina um ajuste manual em um parâmetro de perfil, descrito na nota de segurança. Administradores devem confirmar que a configuração foi aplicada; a instalação isolada do patch não deve ser considerada o encerramento do trabalho.
SAML 2.0: atenção à validação da autenticação
A quarta vulnerabilidade de severidade máxima é a CVE-2026-120017, que afeta o provedor de serviço SAML 2.0 no SAP NetWeaver AS ABAP e na ABAP Platform. O problema está associado à validação insuficiente de declarações de autenticação recebidas em determinadas configurações. Como o SAML participa da autenticação federada, uma falha nessa etapa pode comprometer a confiança entre sistemas e a verificação da identidade dos usuários.
A correção deve ser aplicada conforme as instruções oficiais da SAP para os produtos e versões afetados. Como o comportamento do SAML depende da configuração do ambiente, as equipes precisam verificar quais sistemas utilizam o provedor e revisar as definições de autenticação relacionadas, em vez de presumir que todas as instalações estejam expostas da mesma forma.
Como reduzir o risco sem provocar outra crise
O primeiro passo é inventariar os sistemas SAP e identificar quais versões e componentes estão instalados, incluindo serviços publicados para a internet, redes de parceiros e segmentos internos acessíveis a muitos usuários. Essa verificação permite priorizar os ativos mais expostos e evita que servidores esquecidos fiquem fora do plano de correção.
Em seguida, as equipes devem consultar as notas de segurança correspondentes, preparar a atualização em ambiente de testes e avaliar seus efeitos sobre integrações, aplicações e processos de negócio. A urgência não elimina a necessidade de planejamento: uma interrupção em um sistema de ERP também pode afetar operações essenciais.
Depois da aplicação, é importante confirmar que os patches foram instalados corretamente e realizar o ajuste manual exigido para o SAP Gateway. Também convém testar os fluxos de autenticação SAML e as funções que dependem de WebSocket, além de registrar as alterações para auditoria e futuras manutenções.
Enquanto a correção não puder ser concluída, controles temporários podem ajudar: restringir o acesso aos serviços vulneráveis, limitar conexões a origens confiáveis e monitorar tentativas inesperadas de comunicação. Essas medidas reduzem a superfície de ataque, mas não devem ser tratadas como substitutas do patch.
A SAP e a Onapsis divulgaram detalhes técnicos sobre as vulnerabilidades, mas isso não significa que tenha ocorrido uma invasão. Até a conclusão da apuração mencionada, não havia confirmação pública de exploração ativa das quatro falhas com CVSS 10.0. Ainda assim, a ausência de um ataque confirmado não elimina o risco: a prioridade deve ser definida pela exposição real, pela importância do sistema e pela possibilidade de impacto sobre os processos empresariais.