Quatro falhas que atacantes poderiam explorar sem fazer login foram corrigidas hoje no Security Patch Day mensal da SAP. A fornecedora classifica as quatro com nota 10,0, a pontuação máxima do CVSS (sistema de pontuação de vulnerabilidades comuns).
Três delas estão no servidor de aplicação SAP NetWeaver, o software no qual os sistemas SAP são executados, e uma está no Web Dispatcher, que recebe requisições web da internet e as encaminha para esse servidor.
As falhas no Web Dispatcher e no Gerenciador de Comunicação na Internet (ICM, na sigla em inglês), responsável pelo tráfego web do servidor, poderiam permitir que um atacante com acesso ao software pela rede executasse código, segundo a fornecedora.
A falha no provedor de serviço SAML 2.0 do servidor, que repassa o login do usuário a um provedor de identidade, poderia permitir que um atacante acessasse o sistema como qualquer usuário em alguns sistemas que usam login único (SSO) com SAML.
A falha no SAP Gateway, que conecta o servidor a outros sistemas e programas SAP, poderia permitir que um atacante se passasse por um dos próprios servidores do sistema e realizasse ações não autorizadas.
Nenhuma das quatro exige qualquer ação do usuário para funcionar.
Versões afetadas e notas da SAP
Cada falha foi corrigida em uma nota própria, e as versões afetadas variam por componente, segundo o boletim de segurança de novembro da SAP. As notas estão no SAP for Me, que exige login, e a fornecedora recomenda fortemente aplicá-las como prioridade.
Kernels fora de manutenção também são afetados, segundo a Onapsis, empresa de segurança em SAP cujos pesquisadores encontraram as falhas do ICM, do Web Dispatcher e do Gateway. Seu alerta ICM2SHELL lista os kernels 7.40, 7.41, 7.42, 7.45, 7.49, 7.73, 7.81, 7.85 e 7.89 para as falhas do ICM e do Web Dispatcher, e seu alerta PROXYGATE lista os mesmos kernels, além de 7.20 e 7.21, para a falha do Gateway. Esses kernels podem não receber correção e precisam ser atualizados para uma versão que ainda tenha manutenção.
O que cada falha permite
Nas configurações SAML afetadas, um atacante poderia usar a CVE-2026-120017 (identificador de vulnerabilidade comum) para acessar também como usuários privilegiados, segundo a fornecedora. Um comprometimento total poderia ocorrer em seguida, possivelmente alcançando sistemas conectados.
Outra falha SAML no mesmo software, a CVE-2026-44748, foi corrigida em 9 de junho e exigia um atacante com uma conta de usuário comum.
Nas falhas do ICM (CVE-2026-76964) e do Web Dispatcher (CVE-2026-89126), tráfego de rede forjado poderia corromper a memória. Um atacante bem-sucedido poderia então executar código e comprometer totalmente o sistema.
A Onapsis afirma que as duas falhas vêm de um mesmo bug, que a empresa chama de ICM2SHELL, no código do kernel que o ICM e o Web Dispatcher compartilham para remontar mensagens WebSocket fragmentadas. A empresa entregou à fornecedora um exploit funcional que executa comandos do sistema operacional como <sid>adm, a conta que é dona da instalação SAP.
O mesmo bug pode derrubar qualquer um dos dois componentes, e um Web Dispatcher travado corta o acesso a todos os sistemas SAP atrás dele enquanto reinicia. O suporte a WebSocket vem ativado por padrão, então um sistema fica exposto mesmo que ninguém o utilize, e sistemas dual-stack são afetados por meio da pilha ABAP. Os pesquisadores da empresa não viram o bug sendo explorado em ataques.
O SAP Gateway usa listas de controle de acesso (ACLs) para decidir quais programas externos podem se conectar a ele, quais programas pode iniciar e quais conexões pode repassar para terceiros. Na CVE-2026-89103, o gateway ativa sua lista padrão com privilégios elevados, permitindo que um atacante externo seja tratado como um dos próprios servidores de aplicação do sistema. Esse atacante poderia então realizar ações não autorizadas no ambiente de aplicações.
Os pesquisadores que encontraram a falha a chamam de PROXYGATE. Eles afirmam que a exposição depende da lista de proxies do gateway, o prxyinfo, ou de um parâmetro de perfil onde essa lista está ausente, e não das listas secinfo e reginfo que a maioria dos guias de endurecimento aborda. Quando as configurações de proxy permitem, requisições forjadas fazem o gateway tratar um atacante externo como um dos seus próprios servidores de aplicação, e então ele poderia executar comandos do sistema operacional para o atacante como <sid>adm.
A falha afeta qualquer sistema que execute um gateway, incluindo instalações AS Java, dual-stack e gateways independentes. Os pesquisadores demonstraram o ataque de ponta a ponta em uma prova de conceito compartilhada com a fornecedora, e não viram a falha sendo explorada em ataques.
O que fazer
Em sua análise do Patch Day, a RedRays, empresa que revisou as notas no SAP for Me hoje, recomenda atualizar o kernel e todos os Web Dispatchers em uma única implantação. Essa implantação deve atingir níveis que cubram todas as 17 correções de kernel e Web Dispatcher deste mês.
A orientação da empresa para cada falha, exceto quando outra fonte é citada:
- SAML2 (CVE-2026-120017). Em determinadas configurações, o provedor de serviço não verificava as assinaturas das asserções recebidas. Considere qualquer sistema AS ABAP que use SAML2 para login em navegador, como o Fiori Launchpad ou o Web GUI por trás de um provedor de identidade, como afetado até que se prove o contrário. Não há contorno temporário, então as instruções de correção ou o pacote de suporte indicado são as únicas soluções. A análise de SAML2 da empresa também sugere revisar todos os provedores de identidade confiáveis na transação SAML2 e verificar os logs de auditoria em busca de logins SAML de usuários privilegiados vindos de origens inesperadas.
- SAP Gateway (CVE-2026-89103). A Onapsis recomenda verificar primeiro a lista de proxies, o prxyinfo. Uma lista permissiva, aberta a redes amplas ou a qualquer host, deixa o sistema exposto em qualquer nível de patch, então restrinja-a, começando pelos gateways acessíveis pela internet. Quando não há arquivo prxyinfo, o parâmetro de perfil gw/acl_mode_proxy decide, e ele vem configurado com 0, o que permite toda conexão de proxy. Os kernels 7.93 e 9.16 já têm o parâmetro e precisam dele definido como 1; os kernels 7.22, 7.53, 7.54, 7.77 e 8.04 o recebem com a correção do kernel, e 9.20 e 9.21 também recebem uma correção de kernel. A correção do kernel isolada, sem um prxyinfo restritivo ou com gw/acl_mode_proxy definido como 1, não tira o sistema do escopo de risco. Não há contorno oficial, mas um prxyinfo restritivo reduz a exposição até a correção ser aplicada. A empresa também recomenda limitar as portas do gateway (33NN e 48NN) a hosts que precisem de acesso RFC (chamada de função remota).
- ICM (CVE-2026-76964). Frames de controle WebSocket com campos de tamanho inválidos causam uma escrita fora dos limites no heap antes de qualquer login. O SAP NetWeaver AS Java não é afetado, e a correção chega pelo dw.sar e pelo SP Stack Kernel. Se os usuários acessam o ICM apenas por meio de um Web Dispatcher, aplicar nele os níveis indicados na nota de perguntas frequentes 3778788 protege o ICM por enquanto, segundo a análise do ICM da RedRays. Isso só vale se ninguém puder acessar as portas do ICM diretamente. O alerta ICM2SHELL acrescenta que essa proteção não funciona em um Web Dispatcher configurado como roteador (PROT=ROUTER). Ele também alerta que, na versão 7.93, um nível de patch mais alto nem sempre é corrigido: o nível 419 ainda é vulnerável, e somente o Stack Kernel 401 atualizado, o 402 quando lançado, e o 420 ou superior trazem a correção. Desativar o suporte a WebSocket bloqueia o bug como último recurso, mas quebra funcionalidades que dependem dele.
- Web Dispatcher (CVE-2026-89126). Tem a mesma causa raiz da falha do ICM. Afeta Web Dispatchers independentes e embarcados, incluindo os do SAP HANA XS Classic e XS Advanced, mas não o SAP Content Server. A análise do Web Dispatcher da empresa lista os caminhos de correção: SAPWEBDISP.SAR para instâncias independentes, dw.sar ou o SP Stack Kernel para as embarcadas, SPS08 revisão 089.05 ou SPS07 revisão 079.11 para o HANA XS Classic, e versão 1.5.4 ou posterior para o XS Advanced. Desativar o suporte a WebSocket funciona até a correção ser aplicada, mas a nota alerta que isso afeta os ABAP Push Channels e alguns recursos do Fiori. Encontre todos os Web Dispatchers primeiro, porque uma única instância esquecida mantém a falha aberta.
(A notícia foi atualizada após a publicação, em 10 de novembro de 2026, para incluir detalhes dos pesquisadores que encontraram as falhas do ICM, do Web Dispatcher e do Gateway.)
Corrigido em 10 de novembro de 2026: uma versão anterior associava a falha do SAP Gateway às listas secinfo e reginfo e dizia que os kernels a partir de 7.93 já tinham o parâmetro gw/acl_mode_proxy. Os pesquisadores que encontraram a falha afirmam que a lista de proxies, prxyinfo, ou esse parâmetro define a exposição, e que o kernel 8.04 recebe o parâmetro apenas com a correção.
