A fabricante de software empresarial SAP anunciou nesta terça-feira o lançamento de 22 notas de segurança novas e atualizadas, incluindo quatro que tratam de vulnerabilidades de severidade crítica.
No topo da lista está a CVE-2026-89111 (identificador do sistema Common Vulnerabilities and Exposures, ou CVE), com pontuação CVSS (Common Vulnerability Scoring System, sistema de medição de gravidade) de 10/10. Trata-se de uma falha de falsificação de requisição do lado do servidor (SSRF, sigla de Server-Side Request Forgery) no OAuth2 do Cloud SDK para Python, que afeta aplicações multilocatário da BTP (Business Technology Platform).
“Um invasor que controla o parâmetro tenant_subdomain pode redirecionar requisições de token OAuth2 para um servidor controlado por ele, fazendo com que as credenciais do cliente sejam exfiltradas”, explica a SAP em um aviso publicado no GitHub.
A próxima na lista é a CVE-2026-89110, com pontuação CVSS de 9,9/10. Trata-se de uma falha de controle de acesso quebrado em determinadas funcionalidades de portal do NetWeaver Visual Composer.
Segundo a Onapsis, empresa de segurança de aplicações empresariais, a falha pode permitir que “um invasor com baixo nível de privilégio invoque operações internas em um sistema remoto pré-configurado” e comprometa totalmente esse sistema.
A terceira vulnerabilidade crítica corrigida no Security Patch Day de outubro de 2026 da SAP é a CVE-2026-89107, com pontuação CVSS de 9,9/10. Trata-se de um problema de injeção de código no S/4HANA que pode permitir que invasores autenticados executem código ABAP arbitrário no sistema (ABAP, linguagem de programação proprietária da SAP).
A falha existe porque o processo de definição de regras não valida adequadamente as entradas, o que permite que invasores com uma função de negócios específica nos Fiori Applications enviem dados manipulados. A exploração bem-sucedida pode permitir que invasores assumam o controle de um sistema vulnerável, segundo a Onapsis.
A quarta falha crítica é a CVE-2026-89108, com pontuação CVSS de 9,1/10. Trata-se de uma verificação de autorização ausente no Manufacturing Integration and Intelligence que pode permitir que um invasor com privilégios de administrador do XMII crie uma conta de administrador no servidor de aplicação Java subjacente e comprometa totalmente o sistema.
Também nesta terça-feira, a SAP corrigiu falhas de alta severidade no Commerce Cloud, no NetWeaver e no ABAP Platform que podem permitir que invasores injetem comandos SQL (linguagem de consulta estruturada) arbitrários, provoquem a queda de processos e contornem restrições.
A SAP não menciona nenhuma dessas falhas recém-corrigidas sendo explorada na prática. Os usuários são aconselhados a atualizar suas aplicações o quanto antes.
