SAP Security Patch Day de Novembro de 2026 traz 9 notas críticas

Nesta terça-feira (10/11), a SAP liberou o seu tradicional pacote mensal de correções de segurança, o SAP Security Patch Day de novembro. Pelo quarto mês consecutivo, vulnerabilidades atingiram a pontuação máxima do índice CVSS, 10.0.

Ao todo, o pacote entregou 35 novas Security Notes, 4 advisories de segurança do GitHub e 3 atualizações de notas lançadas anteriormente. Dentre esses itens, 9 são classificados como críticos (HotNews), contra 4 nos ciclos de setembro e outubro. Isso exige atenção e prioridade das equipes de TI, Basis e Segurança da Informação.

O Panorama Geral de Novembro de 2026

Considerando as novas notas, os advisories do GitHub e as atualizações, as 42 entradas de segurança do mês distribuem-se da seguinte forma:

• 9 Notas Críticas (HotNews): CVSS entre 9.1 e 10.0, sendo 4 com CVSS 10.0
• 17 de Alta Severidade: CVSS entre 7.1 e 8.9 (incluindo os 4 advisories do GitHub)
• 15 de Média Severidade: CVSS entre 4.1 e 6.5 (incluindo 3 atualizações de notas)
• 1 de Baixa Severidade: CVSS 3.1

Três recortes ajudam a ler este ciclo:

• O Kernel está no centro do mês. 17 das 42 entradas listam versões de Kernel (KERNEL/KRNL64) entre as afetadas, incluindo 5 das 9 críticas. Web Dispatcher e Internet Communication Manager (ICM) aparecem em 7 notas, e o SAP Message Server em 3.
• Corrupção de memória é o tipo mais frequente. São 7 notas de Memory Corruption, em ICM, Web Dispatcher, Message Server, Internet Graphics Service (IGS) e Application Server ABAP. Há ainda 4 notas de Denial of Service (DoS).
• Bibliotecas de desenvolvimento seguem no radar. 3 dos 4 advisories do GitHub são do SAP Cloud SDK (Python e AI/JavaScript), o que reforça a importância de inventariar as dependências das aplicações e extensões customizadas.

As 9 Notas Críticas (HotNews) em Foco

Para cada nota, o primeiro passo é validar se o componente está ativo e exposto no seu landscape.

CVSS 10.0

1. Corrupção de Memória no SAP NetWeaver AS ABAP, Internet Communication Manager (Nota #3778530, CVE-2026-76964, CVSS 10.0)
Falha de Memory Corruption no ICM. Atinge as versões de Kernel 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 e 9.20.

2. Corrupção de Memória no SAP Web Dispatcher (Nota #3778556, CVE-2026-89126, CVSS 10.0)
Falha de Memory Corruption no Web Dispatcher. A nota lista Kernel de 7.53 a 9.20, além de HDB 2.00, XS_ADVANCED_RUNTIME 1.00 e SAP_EXTENDED_APP_SERVICES 1.

3. Broken Access Control no SAP Gateway (Nota #3798345, CVE-2026-89103, CVSS 10.0)
Falha de controle de acesso no SAP Gateway, com uma ampla faixa de versões de Kernel afetadas, de 7.22 a 9.21.

4. Missing Authentication no SAML2 Service Provider do SAP NetWeaver AS ABAP e ABAP Platform (Nota #3849308, CVE-2026-120017, CVSS 10.0)
Ausência de autenticação no SAML2 Service Provider, afetando de SAP_BASIS 702 a 922. É a única das quatro notas CVSS 10.0 que não é de Kernel. Vale verificar se o SAML2 Service Provider está em uso no seu ambiente.

CVSS 9.9

5. Code Injection no SAP NetWeaver Knowledge Management, XML Forms (Nota #3809153, CVE-2026-109803, CVSS 9.9)
Afeta o componente KMC-CM 7.50. Vale confirmar se o Knowledge Management está ativo no ambiente.

6. OS Command Injection no ABAP Application Server (Nota #3792735, CVE-2026-76965, CVSS 9.9)
Falha de injeção de comandos do sistema operacional no Application Server ABAP. Atinge Kernel 7.22 a 9.16.

7. Missing Authorization Check no S4CRM (Nota #3834842, CVE-2026-109795, CVSS 9.9)
Afeta S4CRM 204, 205 e 206, S4CEXT 107, 108 e 109, e BBPCRM 713 e 714. Quem utiliza esses componentes deve verificar a nota.

CVSS 9.6 e 9.1

8. Cross-Site Request Forgery no SAP Web Dispatcher e ICM (Nota #3804858, CVE-2026-89119 e CVE-2026-120014, CVSS 9.6)
Nota com dois CVEs, afetando Web Dispatcher 7.93 e 9.16 e Kernel 7.93, 9.16, 9.20 e 9.21.

9. XML External Entity (XXE) no SAP BusinessObjects BI Platform, Web Intelligence (Nota #3799117, CVE-2026-109798, CVSS 9.1)
Afeta as versões ENTERPRISE 430, 2025 e 2027.

Alta Severidade: Pontos de Atenção

Novembro trouxe 17 notas de alta severidade. Entre os destaques:

• Múltiplas vulnerabilidades no Application Server ABAP (Nota #3769130, CVE-2026-76966 e CVE-2026-109796, CVSS 8.9): a de maior CVSS desta faixa, com Kernel de 7.22 a 9.20.
• SAP NetWeaver IGS (Notas #3809953, CVSS 8.2, e #3809934, CVSS 7.5): o Internet Graphics Service recebe duas notas no mesmo ciclo, uma de Memory Corruption e outra com múltiplas vulnerabilidades (CVE-2026-109806 e CVE-2026-109807).
• Memory Corruption no SAP Web Dispatcher (Nota #3803832, CVSS 7.7).
• SAP Message Server (Notas #3805570, #3789273 e #3808552, CVSS 7.5): duas de Memory Corruption e uma de Information Disclosure.
• Memory Corruption no Application Server ABAP (Nota #3792915, CVSS 7.5).
• DoS no ICM e Web Dispatcher (Notas #3808627 e #3805681, CVSS 7.5).
• Missing Authentication no SAP NetWeaver AS Java EDM Application (Nota #3810485, CVSS 7.5).
• Insufficient Input Validation no SAP Host Agent (Nota #3842766, CVSS 7.5): afeta o SAPHOSTAGENT 7.22.
• Code Injection no SAP ABAP Developer Tools, AMDP Data Preview (Nota #3833364, CVSS 7.2).

Advisories do GitHub: bibliotecas e ferramentas

Os 4 advisories do GitHub também são de alta severidade e pedem verificação nos projetos de desenvolvimento, e não nos sistemas instalados:

• SAP Cloud SDK for Python, JWT (GHSA-93m8-crj2-v997, CVE-2026-109799, CVSS 7.5): verificação inadequada de assinatura JWT no IASContextProvider, que leva a falsificação de identidade de tenant e usuário. Afeta versões anteriores à 0.63.1.
• SAP Cloud SDK for Python, Path Traversal (GHSA-28c8-457r-4cf6, CVE-2026-120013, CVSS 7.5): no módulo Agent Memory, em versões anteriores à 0.50.0.
• SAP Cloud SDK for AI, JavaScript (GHSA-8g7j-49xg-8wf3, CVE-2026-120012, CVSS 7.5): Information Disclosure em versões até a v2.17.0.
• SAP/astonish (GHSA-93c9-96j8-4vg9, CVE-2026-109797, CVSS 7.1): tomada de controle de sandbox entre tenants (cross-tenant), em versões anteriores à v3.6.0.

Média e Baixa Severidade, e Atualizações

Entre as 15 notas de média severidade e a nota de baixa, vale observar:

• ABAP e Kernel: DoS no SAP NetWeaver Application Server for ABAP (#3793716, CVSS 6.5), SSRF no Application Server ABAP (#3805959, CVSS 6.5, de SAP_BASIS 700 a 921) e Weak Cryptography (#3786876, CVSS 6.4).
• SAP NetWeaver AS Java: NWDI Cockpit (#3839977, dois CVEs, CVSS 6.5), CSS Injection no Web Dynpro Java (#3797108, CVSS 6.1) e SSRF em Web Services (#3835738, CVSS 5.8).
• Camada de interface e portais: XSS no Visual Composer (#3806484, CVSS 6.1) e CSRF no Enterprise Portal (#3801587, CVSS 4.3).
• Web Dispatcher e ICM: Insecure Storage of Sensitive Information (#3782056, CVSS 6.0).
• Outras: Broken Access Control no Process Integration Test Tool (#3792447, CVSS 5.3), DoS no SAP BusinessObjects (#3803144, CVSS 4.4) e Information Disclosure no SAP Start Service e SAP Microsoft Management Console (#3740168, CVSS 4.4).
• Baixa severidade: Missing Authorization Check no SAP Solution Tools Plug-In, ST-PI (#3802244, CVSS 3.1).

Atualizações de notas anteriores: três notas já publicadas foram revisadas. Quem já as tratou deve verificar a versão republicada:

• #3671819 (XSS em aplicações baseadas em SAP GUI for HTML, CVSS 5.4), do Patch Day de outubro de 2026.
• #3155685 (Security misconfiguration no SAP WebClient UI, CVSS 4.1), do Patch Day de julho de 2026.
• #3101986 (preparação de suporte a CSP no SAP WebClient UI, CVSS 4.1), originalmente do Patch Day de abril de 2022.

Como planejar a atualização do seu ambiente SAP

A aplicação de correções em sistemas de missão crítica exige planejamento técnico rigoroso para mitigar riscos de indisponibilidade.

Recomendamos que as equipes de Basis sigam um fluxo estruturado:

1. Mapeamento de impacto: verificar quais componentes ativos do seu landscape estão de fato listados nas notas deste mês, com atenção redobrada ao Kernel (ICM, Web Dispatcher, Message Server, Gateway), ao SAML2 Service Provider e ao SAP Host Agent. Levantar também, com as equipes de desenvolvimento, as bibliotecas em uso, como o SAP Cloud SDK.
2. Priorização: começar pelas notas críticas dos componentes que estão em uso e acessíveis a partir de redes externas ou menos confiáveis.
3. Validação de compatibilidade: como muitas notas listam versões de Kernel, confirme a versão em uso nos seus sistemas e planeje a janela de manutenção com antecedência, certificando-se de que as correções não afetarão customizações internas ou integrações.
4. Ambientes de homologação: executar todos os testes em ambientes de qualidade (QAS) antes do transporte para a produção.

O Grupo BravoIT | CloudBasis apoia sua empresa

Nossa equipe de especialistas em SAP Basis acompanha os ciclos de segurança em tempo real. Ajudamos sua empresa a analisar o real impacto dessas vulnerabilidades no seu landscape específico, conduzindo a aplicação das notas técnicas em janelas de manutenção controladas e seguras.

Garanta a estabilidade e a proteção do seu sistema de gestão. Fale com nossos especialistas técnicos hoje mesmo para uma avaliação preventiva do seu ambiente.