A SAP anunciou a publicação de 22 notas de segurança novas e atualizadas como parte do Dia de Correções de Segurança de outubro de 2026, entre elas quatro vulnerabilidades classificadas como críticas no Cloud SDK for Python, no NetWeaver Visual Composer, no S/4HANA e no Manufacturing Integration and Intelligence. A empresa não mencionou a exploração dessas falhas em ataques reais, mas recomendou que os usuários atualizem os aplicativos o mais rápido possível.
Vulnerabilidades que podem levar ao comprometimento total
A vulnerabilidade de maior gravidade tem o identificador CVE-2026-89111 e uma pontuação CVSS de 10 em 10. Trata-se de uma vulnerabilidade SSRF relacionada ao OAuth2 no Cloud SDK for Python, que afeta aplicativos BTP multilocatários. De acordo com o comunicado da SAP publicado no GitHub, um invasor que controle o parâmetro tenant_subdomain pode redirecionar solicitações de tokens OAuth2 para um servidor sob seu controle, o que pode levar ao vazamento das credenciais do cliente.
Já a CVE-2026-89110 tem pontuação de 9,9 em 10 e está relacionada a uma falha no controle de acesso em determinadas funções do NetWeaver Visual Composer. A empresa de segurança de aplicativos empresariais Onapsis afirmou que um invasor com poucos privilégios pode conseguir invocar operações internas em um sistema remoto pré-configurado, o que pode acabar levando ao comprometimento total do sistema.
A SAP também corrige a CVE-2026-89107 no S/4HANA, com pontuação de 9,9 em 10. Em determinadas condições, a falha permite que um invasor autenticado que possua uma função comercial específica em aplicativos Fiori envie entradas especialmente elaboradas para executar código ABAP arbitrário. O problema decorre da validação inadequada das entradas durante o processo de definição de regras.
A CVE-2026-89108 tem pontuação de 9,1 em 10 e resulta da ausência de uma verificação de autorização no Manufacturing Integration and Intelligence. Um invasor com permissões de XMII Admin pode criar uma conta administrativa no servidor de aplicativos Java subjacente, permitindo o comprometimento completo do sistema.
O que muda na prática?
Este lote reúne riscos diferentes: vazamento de credenciais por meio de solicitações OAuth2, desvio de controles de acesso, injeção de código ABAP e criação de contas administrativas. Portanto, seu impacto não se limita a um único componente e pode se estender aos sistemas SAP empresariais e aos processos que dependem deles, de acordo com os produtos, as configurações e as funções disponíveis para o invasor.
A SAP também corrigiu vulnerabilidades de alta gravidade no Commerce Cloud, no NetWeaver e na ABAP Platform, que poderiam permitir a injeção de comandos SQL arbitrários, causar a interrupção de um processo ou contornar restrições de segurança. A fonte não especifica as versões dos produtos afetados nem prazos separados para a atualização, e também não comprova a existência de exploração ativa das vulnerabilidades até a data da publicação.
O que os usuários devem revisar
As equipes de administração da SAP devem revisar as notas de segurança da SAP de outubro de 2026, identificar os componentes efetivamente implantados e aplicar as atualizações apropriadas de acordo com os procedimentos de mudança aprovados. As vulnerabilidades também exigem a revisão das permissões das funções, especialmente as funções associadas ao Fiori e ao XMII, além da verificação das configurações dos aplicativos multilocatários. A prioridade da correção continua vinculada ao nível de exposição de cada ambiente, pois a fonte não afirma que todas as implantações possam ser exploradas da mesma maneira.