Publicado por:Nesta terça-feira (13), a SAP liberou o seu tradicional pacote mensal de correções de segurança — o SAP Security Patch Day de outubro. E o ciclo repete um dado que merece atenção das equipes de segurança: pelo terceiro mês consecutivo, uma vulnerabilidade atingiu a pontuação máxima do índice CVSS, 10.0, após os registros de agosto e setembro.
Ao todo, o pacote de outubro entregou 16 novas Security Notes, 4 advisories de segurança do GitHub e 2 atualizações de notas lançadas em meses anteriores. Dentre esses itens, 4 são classificados como críticos (HotNews) — exigindo atenção e prioridade das equipes de TI, Basis e Segurança da Informação.
Um esclarecimento importante: a vulnerabilidade de CVSS 10.0 deste mês vem de um advisory do GitHub, referente a uma biblioteca (o SAP Cloud SDK for Python), e não de uma Security Note numerada de um sistema SAP instalado. Isso amplia o escopo da verificação, como detalhamos a seguir.
O Panorama Geral de Outubro de 2026
Considerando as novas notas, os advisories do GitHub e as atualizações, as 22 entradas de segurança do mês distribuem-se da seguinte forma:
- 4 vulnerabilidades Críticas (HotNews): CVSS entre 9.1 e 10.0 (3 notas e 1 advisory do GitHub)
- 3 notas de Alta Severidade: CVSS entre 7.1 e 8.8
- 14 notas de Média Severidade: CVSS entre 4.2 e 6.5
- 1 nota de Baixa Severidade: CVSS 3.5
Dois recortes ajudam a ler este ciclo. O primeiro é o escopo: 4 das 22 entradas são advisories do GitHub, que tratam de bibliotecas e ferramentas de desenvolvimento (SAP Cloud SDK for Python, cla-assistant, yeoman-ui e a SAP/cloud-security-services-integration-library). Além dos sistemas SAP instalados, vale revisar o que as equipes de desenvolvimento utilizam em extensões e aplicações customizadas.
O segundo recorte está nas notas de média severidade: 6 delas tratam de Cross-Site Scripting (XSS) e 3 afetam o SAP NetWeaver Enterprise Portal, o que merece atenção nas camadas de interface e nos portais acessados pelos usuários.
Os 4 Destaques Críticos (HotNews) em Foco
As vulnerabilidades críticas deste mês afetam componentes e bibliotecas do ecossistema SAP. É fundamental que as equipes técnicas realizem o mapeamento de impacto para validar se os itens listados estão ativos e expostos no landscape atual.
1. SSRF via OAuth2 no SAP Cloud SDK for Python (Advisory GHSA-4mv3-jxxm-9cx2 / CVE-2026-89111 — CVSS 10.0)
A vulnerabilidade de maior severidade do mês — e o terceiro CVSS 10.0 em três meses seguidos — afeta a biblioteca SAP Cloud SDK for Python (versões anteriores à 0.45.2). Trata-se de uma falha de Server-Side Request Forgery (SSRF) ligada ao fluxo OAuth2, que pode permitir que um agente mal-intencionado induza a aplicação a realizar requisições para destinos não previstos, inclusive recursos internos. Por ser uma biblioteca, ela não vem embutida em um sistema SAP: o ponto de verificação é o inventário de dependências dos projetos Python que utilizam o SDK.
2. Broken Access Control no SAP NetWeaver Visual Composer (Nota #3797111 — CVSS 9.9)
Afeta o componente VC70RUNTIME do SAP NetWeaver Visual Composer (versão 7.50). A falha de controle de acesso (Broken Access Control) pode permitir acesso a funcionalidades ou informações sem as devidas permissões. Empresas que mantêm o Visual Composer ativo em seus ambientes NetWeaver devem validar, em primeiro lugar, se o componente está instalado e exposto.
3. Code Injection no SAP S/4HANA — Manage Substitution/Validation Rules (Nota #3805589 — CVSS 9.9)
Vulnerabilidade de injeção de código no aplicativo de gestão de regras de substituição e validação do SAP S/4HANA, em uma faixa de versões que abrange cinco releases (S4CORE 105 a 109). A exploração da falha pode permitir a execução de código não autorizado no sistema, com impacto potencial sobre um componente do núcleo do ERP.
4. Missing Authorization no SAP MII — Configuration Service (Nota #3798788 — CVSS 9.1)
Afeta o serviço de configuração do SAP Manufacturing Integration and Intelligence (MII) (XMII 15.4 e 15.5). A ausência de verificação de autorização pode permitir a execução de operações sem as devidas permissões. Após concentrar seis notas em agosto e uma em setembro, o MII volta a aparecer neste ciclo, agora com duas notas (uma crítica e uma de média severidade) — um ponto de atenção para empresas com operações industriais integradas ao SAP.
Alta Severidade e Outros Pontos de Atenção
Além das notas críticas, outubro trouxe 3 notas de alta severidade que também requerem planejamento rápido:
- SQL Injection no SAP Commerce Cloud — OOTB Code (Nota #3800517 — CVSS 8.8): afeta a versão COM_CLOUD 2211-JDK21.
- Corrupção de Memória no SAP NetWeaver e SAP Web Dispatcher — Internet Communication Manager (Nota #3765424 — CVSS 7.5): atinge uma ampla faixa de versões de Kernel, de 7.53 a 9.20.
- Missing Authorization no SAP ABAP Platform (Nota #3626303 — CVSS 7.1): afeta as versões de Kernel 7.93 e 9.16.
Entre as demais notas e atualizações do mês, vale observar:
- Atualizações de notas anteriores: duas notas já publicadas foram revisadas — a #3689080 (SSRF no Application Server ABAP, CVSS 6.4, originalmente do Patch Day de março de 2026) e a #3629325 (XSS no SAP NetWeaver ABAP Platform, CVSS 6.1, do Patch Day de setembro de 2025). Quem já tratou essas notas deve revisar a versão republicada agora.
- SAP NetWeaver Enterprise Portal: três notas no mesmo ciclo — #3779985 (XSS, CVSS 6.1), #3790401 (Open Redirect, CVSS 6.1) e #3789825 (Information Disclosure, CVSS 5.3).
- Cross-Site Scripting: 6 notas ao todo, em SAP MII, NetWeaver ABAP Platform, Enterprise Portal, SAPUI5 (duas notas) e aplicações baseadas em SAP GUI for HTML.
- Bibliotecas e ferramentas de desenvolvimento: além do Cloud SDK for Python, há advisories para o cla-assistant (CVSS 6.5), o yeoman-ui (OS Command Injection, CVSS 5.9) e a SAP/cloud-security-services-integration-library (Improper Authentication, CVSS 4.2).
Como planejar a atualização do seu ambiente SAP
A aplicação de correções em sistemas de missão crítica exige planejamento técnico rigoroso para mitigar riscos de indisponibilidade.
Recomendamos que as equipes de Basis sigam um fluxo estruturado:
- Mapeamento de impacto: verificar quais componentes ativos do seu landscape estão de fato expostos às notas deste mês (com atenção redobrada ao S/4HANA, ao Visual Composer, ao SAP MII e ao Kernel) e levantar, junto às equipes de desenvolvimento, as bibliotecas e SDKs em uso, como o SAP Cloud SDK for Python.
- Validação de compatibilidade: certificar-se de que a aplicação das notas não afetará customizações internas ou integrações.
- Ambientes de homologação: executar todos os testes em ambientes de qualidade (QAS) antes do transporte para a produção.
O Grupo BravoIT | CloudBasis apoia sua empresa
Nossa equipe de especialistas em SAP Basis acompanha os ciclos de segurança em tempo real. Ajudamos sua empresa a analisar o real impacto dessas vulnerabilidades no seu landscape específico, conduzindo a aplicação das notas técnicas em janelas de manutenção controladas e seguras.
Garanta a estabilidade e a proteção do seu sistema de gestão. Fale com nossos especialistas técnicos hoje mesmo para uma avaliação preventiva do seu ambiente.
