A gigante do software SAP lançou um pacote de atualizações de segurança para novembro de 2026, que corrige 35 vulnerabilidades de segurança diferentes em seus sistemas. Este pacote inclui a correção de quatro vulnerabilidades extremamente críticas que recebem a pontuação máxima na escala de gravidade de vulnerabilidades (CVSS).
As quatro vulnerabilidades de criticidade máxima afetam componentes principais na arquitetura da empresa, especificamente os sistemas NetWeaver, Web Dispatcher e Gateway. A empresa corrigiu duas vulnerabilidades no servidor de aplicações NetWeaver para ABAP relacionadas à corrupção de memória e à ausência de autenticação, além de uma vulnerabilidade de quebra de controle de acesso no SAP Gateway e outra vulnerabilidade de corrupção de memória no componente Web Dispatcher.
Natureza da ameaça e vulnerabilidades descobertas
A empresa de cibersegurança Onapsis, que descobriu e relatou três dessas vulnerabilidades, rastreou duas vulnerabilidades sob o nome ICM2SHELL e a terceira sob o nome PROXYGATE. A vulnerabilidade ICM2SHELL permite que os atacantes explorem o tráfego normal de um ponto de entrada para a execução remota de código sem a necessidade de um nome de usuário, senha ou qualquer interação humana.
Já a vulnerabilidade PROXYGATE funciona enganando o SAP Gateway para acreditar que um atacante externo não autenticado é um dos servidores de aplicações internos, concedendo ao atacante controle total sobre o sistema SAP com as permissões da conta proprietária do processo de instalação, o que coloca em risco direto os dados de negócios, a integridade das transações e a disponibilidade das aplicações.
O que muda na prática?
Essas atualizações indicam o esforço contínuo da empresa para abordar vulnerabilidades graves nos componentes fundamentais da infraestrutura empresarial. Vale notar que a Agência de Segurança de Infraestrutura e Cibersegurança dos EUA (CISA) já documentou várias vulnerabilidades da SAP que foram exploradas ativamente em ataques, tornando a aplicação imediata dessas correções uma necessidade extrema para as organizações que dependem desses sistemas para gerenciar suas operações e transações comerciais sensíveis.