SAP corrige falhas críticas no NetWeaver ABAP, Approuter e Commerce Cloud que podem expor dados sensíveis e derrubar sistemas
A SAP lançou o pacote de atualizações de segurança de julho de 2026 corrigindo múltiplas vulnerabilidades graves em seu ecossistema. Entre elas, destaca‑se uma falha crítica no SAP NetWeaver Application Server ABAP, classificada como CVE‑2026‑44747, que recebeu pontuação 9,9 no CVSS – praticamente o nível máximo de severidade. O problema abre caminho para acesso indevido a dados, alterações não autorizadas em informações de negócio e até indisponibilidade completa de sistemas corporativos.
Falha de gravação fora dos limites no NetWeaver ABAP (CVE‑2026‑44747)
A vulnerabilidade CVE‑2026‑44747 está relacionada a uma condição de “out‑of‑bounds write”, ou seja, gravação de dados fora da área de memória reservada. Esse tipo de falha costuma surgir por erros lógicos no gerenciamento de memória, permitindo que um atacante grave informações em posições indevidas e corrompa estruturas internas do sistema.
Para explorar o problema, o invasor precisa estar autenticado no ambiente SAP vulnerável. Uma vez logado, porém, a falha pode ser usada para provocar corrupção de memória em componentes fundamentais do NetWeaver ABAP. Isso impacta diretamente os três pilares clássicos da segurança da informação: confidencialidade, integridade e disponibilidade dos dados processados pelo servidor.
Na prática, uma exploração bem-sucedida permite que informações protegidas sejam consultadas ou modificadas sem autorização adequada. Em cenários mais graves, a mesma brecha pode ser usada para causar falhas críticas, travamentos e interrupções em serviços, paralisando processos empresariais que dependem do ambiente ABAP. Em organizações de grande porte, isso significa potencial impacto sobre módulos de finanças, folha de pagamento, logística, cadeia de suprimentos, manufatura, faturamento e relacionamento com fornecedores.
Importância do SAP NetWeaver Application Server ABAP
O NetWeaver Application Server ABAP funciona como o “coração” de inúmeras aplicações SAP. Ele fornece a camada de execução para programas ABAP e serviços de negócio que sustentam transações de missão crítica. Por isso, vulnerabilidades nesse componente tendem a ter alcance amplo e afetar múltiplas soluções integradas ao mesmo back-end.
Muitas empresas utilizam o mesmo ambiente ABAP como base para soluções customizadas, integrações internas e extensões de terceiros. Isso eleva o risco, pois uma falha no kernel pode comprometer não apenas aplicativos padrão da SAP, mas todo o ecossistema construído em cima dessa infraestrutura.
Mitigação temporária via ICF e suas limitações
Como medida de contenção imediata, a nota de segurança da SAP orienta desativar, pela transação SICF, todos os nós do Internet Communication Framework (ICF) que contenham uma propriedade específica associada à vulnerabilidade. Os nós ICF são responsáveis por controlar os serviços HTTP e HTTPS oferecidos pelo ambiente ABAP, servindo como ponto de entrada para acessos via browser e integrações baseadas em web.
Ao desativar esses nós, a organização reduz consideravelmente a superfície de ataque, impedindo que a vulnerabilidade seja explorada por meio de determinados serviços. No entanto, essa abordagem tem um custo operacional importante: a suspensão dos nós pode inviabilizar o uso do SAP GUI for HTML, interface que permite acessar funcionalidades do sistema SAP diretamente pelo navegador. Em ambientes que dependem fortemente dessa interface para atividades diárias, a mitigação temporária pode ser impraticável ou gerar forte impacto em usuários.
Especialistas da Onapsis alertam que, justamente por afetar funcionalidades essenciais em muitos cenários, essa medida de mitigação não é adequada para todos os clientes. Assim, é vista apenas como um “freio de emergência” até que seja possível aplicar o patch oficial.
Recomendação principal: atualização do ABAP Kernel
A orientação prioritária é a instalação imediata da versão corrigida do ABAP Kernel. O kernel é o componente central responsável por executar código ABAP, gerenciar memória, coordenar recursos do sistema e controlar o tempo de execução das aplicações. Vulnerabilidades nesse nível costumam ser particularmente perigosas, pois permitem que falhas se propaguem para todos os módulos e serviços que dependem do ambiente.
Organizações com políticas maduras de gestão de patches devem priorizar a atualização em ambientes de teste, validar rapidamente a compatibilidade com seus desenvolvimentos próprios e, em seguida, programar a aplicação em produção em janelas de manutenção o mais curtas possível. Quanto mais tempo o kernel vulnerável permanecer ativo, maior a janela de risco para ataques internos e externos.
CVE‑2026‑27690: desvio de requisições HTTP no SAP Approuter
O pacote de julho também corrige a vulnerabilidade CVE‑2026‑27690, outro problema classificado como crítico e avaliado com pontuação CVSS 9,1. A falha afeta implantações do SAP Approuter que estejam rodando fora de ambientes Cloud Foundry. Nesse contexto, o Approuter atua como um componente intermediário, roteando requisições HTTP para serviços de back‑end, realizando autenticação e controlando o acesso a aplicações.
O problema é caracterizado como HTTP request/response smuggling – uma técnica em que o atacante explora diferenças na forma como servidores, proxies e outros intermediários interpretam os cabeçalhos e o corpo de uma requisição HTTP. Ao manipular detalhes como o tamanho do conteúdo ou delimitadores de mensagens, o invasor provoca dessincronização entre as requisições enviadas e as respostas devolvidas pela infraestrutura.
Dessa forma, uma resposta que deveria ser entregue a um determinado usuário pode acabar associada a outra conexão, expondo informações que não deveriam ser acessíveis. Em cenários mais agressivos, a técnica pode ser empregada para conduzir ataques de negação de serviço (DoS), exaurindo recursos e comprometendo a disponibilidade da aplicação.
Impacto em arquiteturas com proxies e balanceadores
Esse tipo de vulnerabilidade tem relevância especial em arquiteturas complexas que utilizam proxies reversos, balanceadores de carga, gateways de API e múltiplas camadas de processamento HTTP. Quando cada componente interpreta os cabeçalhos ou delimitações das requisições de forma sutilmente diferente, abre‑se uma oportunidade para que o atacante injete requisições “escondidas” no fluxo de comunicação.
Em ambientes SAP modernos, é comum o uso combinado de Approuter com outros elementos de infraestrutura, o que aumenta o risco de comportamentos inesperados. Por isso, além de aplicar os patches fornecidos, é importante revisar a configuração de proxies, verificar compatibilidade de versões e reforçar monitoramento de logs HTTP em busca de padrões anômalos.
CVE‑2026‑44761: credenciais padrão expondo APIs no SAP Commerce Cloud
Outra vulnerabilidade crítica tratada pela SAP em julho é a CVE‑2026‑44761, também com pontuação CVSS 9,1. Essa falha afeta instâncias do SAP Commerce Cloud e está associada ao uso indevido de credenciais padrão em configurações de OAuth 2.0.
O problema ocorre quando ambientes de produção mantêm um cliente OAuth 2.0 de exemplo, criado por scripts de configuração disponibilizados em documentação técnica da própria SAP. Esses scripts foram pensados originalmente para cenários de demonstração, desenvolvimento e testes, facilitando a criação rápida de ambientes de prova de conceito. Porém, eles definem clientes OAuth com credenciais fixas, conhecidas publicamente e documentadas em materiais oficiais.
Versões antigas da documentação não destacavam com clareza que essas configurações não deveriam, em hipótese alguma, ser utilizadas ou mantidas em sistemas produtivos. Com isso, alguns administradores podem ter importado ou reaproveitado as configurações de exemplo sem substituir os segredos padrão por credenciais únicas e protegidas.
Se o script de exemplo tiver sido executado em um ambiente real e o cliente OAuth permanecer ativo com o segredo original, um invasor não autenticado pode simplesmente utilizar essas credenciais públicas para solicitar um token de acesso válido. De posse do token, o atacante passa a conseguir invocar determinadas APIs do SAP Commerce Cloud, consultando ou alterando dados do sistema sem precisar comprometer contas reais de usuários.
Riscos práticos para dados de negócio no Commerce Cloud
Dependendo dos escopos associados ao cliente OAuth mal configurado, o atacante pode ter acesso a informações sensíveis, como dados de clientes, pedidos, preços, carrinhos de compra, catálogos de produtos e integrações com sistemas externos. Em alguns casos, também é possível manipular registros, interferindo diretamente em operações de venda e atendimento.
Esse cenário ilustra um dos riscos clássicos de credenciais padrão: qualquer componente implantado com usuários, senhas ou segredos “de fábrica” se torna um alvo fácil. Mesmo que a infraestrutura em torno esteja devidamente protegida, bastam essas chaves frágeis para que a barreira de autenticação seja contornada.
Boas práticas para evitar problemas com credenciais padrão
A correção técnica da falha exige remover ou desabilitar clientes OAuth de exemplo, bem como gerar novos segredos para quaisquer configurações herdadas de ambientes de teste ou documentação. Além disso, é fundamental revisar periodicamente:
– A lista de clientes OAuth configurados, verificando se todos têm finalidade clara em produção.
– Os segredos associados a cada cliente, garantindo que não estejam definidos com valores padrão, sequenciais ou fáceis de adivinhar.
– As permissões e escopos concedidos, limitando o acesso das integrações ao estritamente necessário.
Organizações maduras costumam incluir esse tipo de verificação em auditorias regulares de segurança de APIs, combinando análise de configuração, testes de penetração e monitoramento de uso anômalo de tokens.
O que as empresas usuárias de SAP devem fazer agora
Diante de três vulnerabilidades de alta criticidade, a prioridade das equipes de TI e segurança é reduzir o tempo entre a divulgação dos problemas e a aplicação efetiva dos patches. Algumas ações imediatas recomendadas:
1. Inventariar ambientes afetados
Identificar quais sistemas utilizam NetWeaver ABAP, SAP Approuter fora de Cloud Foundry e SAP Commerce Cloud. Em empresas com múltiplos landscapes (desenvolvimento, homologação, produção, disaster recovery), esse mapeamento é essencial para não deixar instâncias esquecidas.
2. Aplicar correções em ambiente de teste
Instalar as atualizações de kernel ABAP, os patches do Approuter e as correções do Commerce Cloud em ambientes de QA, validando compatibilidade com customizações, interfaces e processos de negócio críticos.
3. Planejar janelas de manutenção em produção
Agendar a aplicação dos patches em horários de menor impacto, comunicando áreas de negócio e definindo planos de rollback em caso de comportamento inesperado após a atualização.
4. Reforçar monitoramento e logs
Até que todas as correções sejam implementadas, intensificar a observação de logs de aplicação, segurança e rede, buscando indícios de: falhas de memória incomuns, padrões estranhos de requisições HTTP ou tentativas de uso indevido de APIs.
5. Revisar configurações de OAuth e integrações
No caso do Commerce Cloud, é indispensável auditar todos os clientes OAuth, revogar credenciais suspeitas, rotacionar segredos e revisar a documentação interna para evitar a reutilização de scripts de exemplo em produção.
Segurança SAP como processo contínuo
Esse pacote de correções reforça um ponto chave: ambientes SAP, por serem altamente críticos para as operações de negócio, precisam de um tratamento de segurança contínuo, e não apenas reativo. Boas práticas incluem:
– Política formal de gestão de vulnerabilidades e patches, com prazos definidos para correções críticas.
– Segmentação de redes e controles de acesso rígidos, limitando o alcance de um invasor mesmo que ele obtenha credenciais válidas.
– Revisões periódicas de permissões de usuários e de componentes técnicos, minimizando privilégios excessivos.
– Treinamento de times de Basis, desenvolvimento e segurança para reconhecer riscos específicos do ecossistema SAP.
Ao aplicar rapidamente as correções de julho de 2026 e fortalecer seus processos de gestão de vulnerabilidades, as empresas reduzem significativamente a chance de que falhas como a CVE‑2026‑44747, CVE‑2026‑27690 e CVE‑2026‑44761 sejam exploradas com sucesso, preservando dados sensíveis e garantindo a continuidade de operações suportadas por SAP.