SAP corrige quatro falhas críticas no NetWeaver e Web Dispatcher

A SAP lançou o pacote de segurança de novembro de 2026 com correções para quatro vulnerabilidades críticas, todas com pontuação CVSS 10,0. Elas podem ser exploradas remotamente, sem autenticação ou interação do usuário; duas permitem execução remota de código. As falhas atingem componentes do SAP NetWeaver Application Server e o SAP Web Dispatcher.

Quatro falhas afetam componentes distintos

As vulnerabilidades estão documentadas em notas de segurança no portal SAP for Me. A tabela resume os identificadores, componentes, pontuações e notas de correção informados:

CVEComponenteCVSSSAP NoteCVE-2026-76964Internet Communication Manager (ICM)10,03778530CVE-2026-89126SAP Web Dispatcher10,03778556CVE-2026-89103SAP Gateway10,03798345CVE-2026-120017Provedor de serviços SAML 2.010,03849308

ICM e Web Dispatcher podem permitir execução de código

As CVE-2026-76964 e CVE-2026-89126 compartilham uma causa técnica: o processamento inadequado de quadros de controle WebSocket. Segundo a RedRays, pacotes preparados com campos de comprimento inválidos podem provocar gravação fora dos limites da memória heap, corromper memória e permitir execução de código arbitrário no servidor.

A CVE-2026-76964 afeta o Internet Communication Manager do SAP NetWeaver AS ABAP; o AS Java não é afetado. A CVE-2026-89126 atinge instalações independentes e integradas do Web Dispatcher, inclusive componentes do SAP HANA XS Classic e XS Advanced. O SAP Content Server não está entre os produtos afetados.

As correções incluem atualizações do kernel e pacotes específicos, como dw.sar e SAPWEBDISP.SAR. Para instalações do SAP HANA XS Classic, as versões corrigidas incluem SPS08 revisão 089.05 e SPS07 revisão 079.11; no XS Advanced, é necessária a versão 1.5.4 ou posterior.

Como medida temporária, desativar o suporte a WebSocket pode impedir a exploração, mas também afetar ABAP Push Channels e alguns recursos do SAP Fiori. A RedRays informa que atualizar o Web Dispatcher pode proteger temporariamente o ICM se todo o tráfego passar pelo componente atualizado e não houver acesso direto às portas do ICM.

SAML 2.0 e Gateway afetam autenticação e acesso

A CVE-2026-120017 afeta o provedor de serviços SAML 2.0 do SAP NetWeaver AS ABAP e da ABAP Platform. Em determinadas configurações, o componente não valida adequadamente assinaturas digitais de declarações de autenticação, o que pode permitir que um invasor não autenticado se passe por qualquer usuário, inclusive contas administrativas.

A correção depende da aplicação da SAP Note 3849308 ou do pacote de suporte correspondente. Administradores devem revisar os provedores de identidade confiáveis na transação SAML2 e investigar autenticações de usuários privilegiados provenientes de origens inesperadas.

A CVE-2026-89103 afeta o SAP Gateway e está relacionada às listas de controle de acesso secinfo e reginfo. Em certas configurações, regras padrão com privilégios elevados podem fazer um invasor externo ser reconhecido como servidor legítimo e realizar operações não autorizadas, com possibilidade de alcançar caminhos de execução de comandos.

Para versões do kernel até 7.77, a correção introduz o parâmetro gw/acl_mode_proxy para restringir regras padrão de acesso; nas versões a partir da 7.93, o parâmetro já está disponível. A RedRays recomenda verificar se gw/acl_mode está configurado como 1, definir regras explícitas em secinfo e reginfo e impedir o acesso direto à porta do Gateway, normalmente identificada como 33xx, pela internet ou redes de usuários.

Atualização coordenada reduz o risco de instâncias esquecidas

A RedRays recomenda atualizar o kernel SAP e todas as instâncias do Web Dispatcher. Como o pacote de novembro reúne 17 correções relacionadas a componentes de kernel e Web Dispatcher, atualizações parciais podem deixar sistemas vulneráveis. As organizações devem inventariar versões instaladas, aplicar as SAP Notes correspondentes, revisar permissões e políticas de confiança e verificar a exposição dos serviços de comunicação.

As correções estão disponíveis no portal SAP for Me, que exige autenticação para consultar as notas técnicas. Até a divulgação analisada, não havia confirmação de exploração ativa dessas quatro falhas. Ainda assim, a possibilidade de ataque remoto sem autenticação e a pontuação CVSS máxima tornam prioritária a correção dos componentes afetados.