SAP lança correções urgentes para falhas críticas em autenticação e servidores empresariais
A SAP lançou seu pacote mensal de atualizações de segurança de novembro de 2026, corrigindo quatro vulnerabilidades críticas com pontuação máxima de 10.0 no sistema CVSS. Todas podem ser exploradas remotamente, sem autenticação ou interação do usuário, e duas permitem a execução remota de código (RCE), possibilitando o comprometimento completo dos sistemas afetados.
Três vulnerabilidades atingem componentes do SAP NetWeaver Application Server, plataforma responsável pela execução de aplicações empresariais, enquanto a quarta afeta o SAP Web Dispatcher, utilizado para receber e encaminhar requisições web aos servidores SAP.
As falhas envolvem componentes essenciais de comunicação, autenticação e integração, incluindo Internet Communication Manager (ICM), SAP Gateway e o provedor de serviços SAML 2.0.
A SAP classificou as quatro correções como prioritárias e recomenda sua aplicação imediata nos ambientes afetados.
Quatro vulnerabilidades críticas afetam diferentes componentes SAP
As falhas foram documentadas individualmente em notas de segurança disponibilizadas no portal SAP for Me.
As versões afetadas variam conforme o componente. As vulnerabilidades de ICM e Web Dispatcher permitem execução remota de código, enquanto as falhas no SAP Gateway e no SAML 2.0 possibilitam, respectivamente, ações não autorizadas e acesso indevido a contas de usuários.
Falhas no ICM e Web Dispatcher permitem execução remota de código
As vulnerabilidades CVE-2026-76964 e CVE-2026-89126 compartilham a mesma causa técnica e estão relacionadas ao processamento inadequado de quadros de controle WebSocket.
Segundo a análise da empresa de segurança RedRays, pacotes especialmente preparados, contendo campos de comprimento inválidos, podem provocar uma gravação fora dos limites da memória heap (heap out-of-bounds write).
Esse comportamento pode resultar em corrupção de memória e permitir que um invasor execute código arbitrário no servidor, sem precisar realizar autenticação.
A CVE-2026-76964 afeta o Internet Communication Manager do SAP NetWeaver AS ABAP, componente responsável pelo processamento do tráfego web. O SAP NetWeaver AS Java não é afetado.
Já a CVE-2026-89126 compromete instalações independentes e integradas do SAP Web Dispatcher, incluindo componentes presentes no SAP HANA XS Classic e XS Advanced. O SAP Content Server não está entre os produtos afetados.
As correções são distribuídas por atualizações do kernel e pacotes específicos, como dw.sar e SAPWEBDISP.SAR.
Para instalações do SAP HANA XS Classic, as versões corrigidas incluem SPS08 revisão 089.05 e SPS07 revisão 079.11. No XS Advanced, a atualização deve alcançar a versão 1.5.4 ou posterior.
Como medida temporária, a desativação do suporte a WebSocket pode impedir a exploração. Entretanto, essa alternativa pode afetar funcionalidades como ABAP Push Channels e determinados recursos do SAP Fiori.
A RedRays também informa que atualizar o Web Dispatcher pode proteger temporariamente o ICM, desde que todas as conexões passem exclusivamente pelo componente atualizado e não exista acesso direto às portas do ICM.
Falha no SAML 2.0 permite assumir contas privilegiadas
A CVE-2026-120017 afeta o provedor de serviços SAML 2.0 do SAP NetWeaver AS ABAP e da ABAP Platform, utilizado em processos de autenticação federada e Single Sign-On (SSO).
Em determinadas configurações, o componente não verifica adequadamente as assinaturas digitais das declarações de autenticação SAML recebidas.
Essa deficiência pode permitir que um invasor não autenticado se passe por qualquer usuário do sistema, incluindo contas com privilégios administrativos.
A exploração bem-sucedida pode resultar no comprometimento completo do ambiente SAP e, dependendo das integrações existentes, alcançar sistemas conectados.
Organizações que utilizam autenticação SAML 2.0 em aplicações como SAP Fiori Launchpad ou Web GUI devem considerar seus ambientes potencialmente afetados até verificarem a configuração e a versão instalada.
Segundo a RedRays, não existe solução alternativa documentada para essa vulnerabilidade. A correção depende da aplicação das instruções da SAP Note 3849308 ou do pacote de suporte correspondente.
Os administradores também devem revisar os provedores de identidade confiáveis cadastrados na transação SAML2 e investigar registros de autenticação de usuários privilegiados provenientes de origens inesperadas.
Em junho de 2026, a SAP já havia corrigido outra vulnerabilidade relacionada ao SAML, identificada como CVE-2026-44748. Diferentemente da nova falha, sua exploração exigia que o invasor possuísse uma conta válida.
SAP Gateway apresenta falha que permite ações não autorizadas
A quarta vulnerabilidade, CVE-2026-89103, afeta o SAP Gateway, componente responsável pela comunicação entre servidores SAP e programas externos.
O problema está relacionado à aplicação de listas de controle de acesso, conhecidas como secinfo e reginfo, utilizadas para determinar quais sistemas podem estabelecer conexões e executar programas.
Em determinadas configurações, o Gateway utiliza regras padrão com privilégios elevados, permitindo que um invasor externo seja reconhecido como um dos servidores de aplicação legítimos do ambiente.
Com isso, o atacante pode realizar operações não autorizadas e potencialmente alcançar caminhos de execução de comandos.
A SAP não disponibilizou uma solução alternativa específica para a falha.
Para versões do kernel até 7.77, a correção introduz o parâmetro gw/acl_mode_proxy, que permite restringir as regras padrão de acesso. Nas versões a partir da 7.93, o parâmetro já está disponível.
A RedRays recomenda verificar se gw/acl_mode está configurado como 1, estabelecer regras explícitas em secinfo e reginfo e impedir que a porta do Gateway, normalmente identificada como 33xx, esteja acessível diretamente pela internet ou por redes de usuários.
Atualizações devem abranger todos os componentes afetados
A RedRays recomenda que as organizações realizem uma atualização coordenada do kernel SAP e de todas as instâncias do Web Dispatcher.
A orientação considera que o pacote de novembro inclui 17 correções relacionadas a componentes de kernel e Web Dispatcher, tornando importante evitar atualizações parciais que deixem instâncias vulneráveis.
As principais medidas incluem identificar todas as versões instaladas, aplicar as SAP Notes correspondentes, revisar permissões e políticas de confiança e verificar a exposição dos serviços de comunicação.
Também é recomendável monitorar registros de autenticação SAML, conexões suspeitas ao Gateway e tentativas incomuns de acesso aos componentes web.
No caso do Web Dispatcher, a identificação de todas as instâncias é especialmente importante, pois uma instalação esquecida pode manter a vulnerabilidade acessível mesmo depois da atualização dos demais servidores.
As correções estão disponíveis no portal SAP for Me, que exige autenticação para consultar as notas técnicas.
Até o momento, o material divulgado não apresenta confirmação de exploração ativa dessas quatro vulnerabilidades em ataques reais. Entretanto, a possibilidade de exploração remota sem autenticação, combinada com a pontuação CVSS máxima, torna sua correção prioritária para organizações que utilizam os componentes afetados.
