Para: quem opera por conta própria sistemas ERP ou de negócios da SAP (NetWeaver AS ABAP, S/4HANA, Web Dispatcher etc.), a equipe de TI e de segurança responsável, e quem deixa a operação com um contratado. Este artigo se baseia na lista pública do Security Patch Day da SAP, nos registros CVE e no catálogo KEV da CISA. Não trata de passos de ataque.
Em andamento: este artigo será atualizado conforme mais for publicado
- Quem é afetado
quem opera por conta própria sistemas ERP ou de negócios da SAP (NetWeaver AS ABAP, S/4HANA, Web Dispatcher etc.), a equipe de TI e de segurança responsável, e quem deixa a operação com um contratado.
- Confirmado até agoraVer a tabela ↓
- Números do patch day
- As quatro falhas com CVSS 10.0
- As três falhas com CVSS 9.9
- Ainda não confirmado
- O texto das SAP Notes (versões corrigidas, níveis de patch, soluções alternativas; exige login e este site não o leu)
- Se alguma delas é explorada (nem a lista da SAP nem o KEV mencionam; a avaliação da CISA está associada a 4 dos 7 registros)
- A inclusão no catálogo KEV da CISA (não constam na versão de 10 de novembro, 19h UTC)
- O que fazer agoraVer os passos ↓
- Liste os pontos de acesso do SAP alcançáveis de fora
- Confira suas versões
- Abra as SAP Notes e confirme os níveis corrigidos
Mais 3
- Procure lacunas com o System Recommendations
- Planeje a atualização, incluindo a reinicialização
- Até lá, reduza o que consegue chegar a esses sistemas
- Onde verificar (fonte)Todas as fontes ↓
- SAP, «Security Patch Day - November 2026» (10 de novembro de 2026; em inglês)
- Última verificação
- Em 11 de novembro de 2026 (JST)
Próximos avisos e o que verificamos
A página pública da SAP diz que, em 10 de novembro de 2026, o Security Patch Day publicou 35 novas notas de segurança e 4 avisos de segurança no GitHub, e atualizou 3 notas anteriores. A SAP recomenda enfaticamente visitar o portal de suporte e aplicar os patches com prioridade.
O que fazer hoje
Liste os pontos de acesso do SAP alcançáveis de fora
Confira, pelas regras do seu firewall e pela faixa real de endereços de origem, se o Web Dispatcher (o componente de front end da SAP que distribui as requisições HTTP), o ICM (a parte do AS ABAP que trata HTTP e HTTPS) e o SAP Gateway são alcançáveis pela internet ou por redes de parceiros. Tudo o que for alcançável é a prioridade máxima. Sistemas somente internos também entram no escopo, mas vêm depois.
Confira suas versões
Em geral, a versão do kernel SAP aparece no SAP GUI em Sistema, Status, na transação SM51, ou no servidor com disp+work -version. A versão do SAP_BASIS está na lista de componentes da tela de Status. O Web Dispatcher costuma ser um processo separado com sua própria versão (o que precede não está no texto da SAP; é um acréscimo nosso). Compare-as com a coluna «Version(s)» da lista da SAP. O Web Dispatcher embutido no HANA (nossa leitura da entrada «HDB 2.00» da lista) ou no runtime XS Advanced também consta da lista (nossa interpretação).
Abra as SAP Notes e confirme os níveis corrigidos
Abra no SAP Support Portal os números de nota da tabela abaixo. As versões corrigidas, os níveis de patch necessários e eventuais soluções alternativas estão no texto da nota. As mesmas versões de kernel aparecem em várias linhas, então confira no texto se uma única atualização do kernel pode cobrir várias notas e planeje-as juntas.
Procure lacunas com o System Recommendations
Se você usa o SAP Solution Manager, o System Recommendations lista as notas de segurança que se aplicam a cada sistema. Em geral, se os dados do sistema estiverem desatualizados, ele pode não listar uma nota. Confira se os números da tabela aparecem como candidatos e, se não, atualize os dados do sistema e confira de novo (acréscimo nosso). Sem o Solution Manager, confira os números de nota um a um, manualmente.
Planeje a atualização, incluindo a reinicialização
Uma atualização de kernel geralmente significa parar e iniciar instâncias. Teste-a e depois reserve com antecedência a janela de indisponibilidade da produção. Em geral, um front end redundante pode ser atualizado um nó por vez. Após a reinicialização, confirme que o kernel em execução é o novo (o que precede não está no texto da SAP; é um acréscimo nosso).
Até lá, reduza o que consegue chegar a esses sistemas
Feche com o firewall todo ponto de acesso que não precise ser alcançável de fora. Mantenha os pontos de acesso de uso interno, como o SAP Gateway, fora da internet e limitados aos servidores que precisam deles. Se você configurou a autenticação SAML 2.0, pode ser afetado pelo CVE-2026-120017, então confira primeiro se ela está configurada (o registro CVE diz «em certas configurações»).
Web Dispatcher ou ICM expostos
Prioridade máxima. Alcançável sem autenticação. Reserve hoje a janela de atualização
Gateway, autenticação SAML 2.0
Em seguida. Limite o que consegue chegar a eles e confira se você os usa
Os três itens 9.9, exploráveis após o login
Mais urgente onde muita gente pode fazer login. Caso contrário, o cronograma normal
Tabela de prioridades (CVSS 10.0 e 9.9)
Os valores CVSS são os mesmos na lista da SAP e nos registros CVE (atribuídos pela SAP). A coluna «Pré-condição» se baseia na descrição do registro CVE.
| CVE | Produto | CVSS | SAP Note | Pré-condição (registro CVE) |
|---|---|---|---|---|
| CVE-2026-89126 | SAP Web Dispatcher (corrupção de memória) | 10.0 | 3778556 | Sem autenticação; pela rede |
| CVE-2026-76964 | ICM do NetWeaver AS ABAP (corrupção de memória) | 10.0 | 3778530 | Sem autenticação; pela rede |
| CVE-2026-89103 | SAP Gateway (controle de acesso) | 10.0 | 3798345 | Sem autenticação; exige acesso de rede ao Gateway |
| CVE-2026-120017 | Provedor de serviço SAML2 do AS ABAP e ABAP Platform (falta de autenticação) | 10.0 | 3849308 | Sem autenticação; em certas configurações |
| CVE-2026-76965 | AS ABAP e ABAP Platform (execução de comandos do SO) | 9.9 | 3792735 | Login com poucos privilégios |
| CVE-2026-109795 | S4CRM (falta de autorização) | 9.9 | 3834842 | Login com poucos privilégios |
| CVE-2026-109803 | NetWeaver Knowledge Management (XML Forms, injeção de código) | 9.9 | 3809153 | Usuário autenticado |
As outras duas linhas que a SAP marca como Critical são:
| CVE | Produto | CVSS | SAP Note |
|---|---|---|---|
| CVE-2026-89119 (CVE adicional: CVE-2026-120014) | Web Dispatcher e ICM (CSRF) | 9.6 | 3804858 |
| CVE-2026-109798 | SAP BusinessObjects BI (Web Intelligence, XXE) | 9.1 | 3799117 |
A opinião deste site: as quatro falhas com CVSS 10.0 se distribuem entre o front end (Web Dispatcher, ICM), o relé (Gateway) e a autenticação (SAML2). Proteger uma única superfície de ataque não basta em um ambiente SAP. O Web Dispatcher e o ICM também têm outras notas de corrupção de memória e negação de serviço com CVSS de 7.5 a 7.7 (CVE-2026-109800, 109793, 109794), então vale planejar as atualizações do front end e do kernel como um único trabalho. Qual nível de patch corrige o quê está no texto das notas.
O que a SAP publicou
- Números
- 35 novas notas de segurança, 4 avisos de segurança no GitHub e 3 atualizações de notas anteriores (descrição da SAP)
- Divisão por prioridade
- A lista da SAP tem 42 linhas: 9 Critical, 17 High, 15 Medium e 1 Low (este site contou as linhas). Isso inclui os 4 itens do GitHub e as 3 atualizações
- Critical (9 linhas)
- Quatro com CVSS 10.0, três com 9.9, uma com 9.6 e uma com 9.1
- Atualizações de notas anteriores
- Outubro de 2026 (XSS, nota 3671819), julho de 2026 (WebClient UI, nota 3155685) e abril de 2022 (WebClient UI, nota 3101986). Se você as aplicou antes, confira o conteúdo atualizado
- Bibliotecas para desenvolvedores
- Os 4 avisos do GitHub cobrem o SAP Cloud SDK for Python (anteriores à 0.63.1 e anteriores à 0.50.0), o SAP Cloud SDK for AI (JavaScript, 2.17.0 e anteriores) e o SAP/astonish (anteriores à 3.6.0). Confira as versões de pacotes que você usa, separadamente do próprio ERP
- Recomendação da SAP
- Visitar o portal de suporte e aplicar os patches com prioridade
- CVE-2026-89126, 76964
- Corrupção de memória. Um invasor sem autenticação que envie tráfego de rede especialmente criado poderia executar código arbitrário e comprometer totalmente o sistema. O CVSS 3.1 é 10.0 (rede, complexidade baixa, sem privilégios, sem interação do usuário, escopo alterado)
- CVE-2026-89103
- O SAP Gateway ativa a lista de controle de acesso padrão com privilégios altos, de modo que um invasor externo é tratado como um servidor de aplicação interno. Um invasor sem autenticação poderia realizar ações não autorizadas. O CVSS 3.1 é 10.0
- CVE-2026-120017
- Em certas configurações, as asserções de autenticação recebidas não são verificadas o suficiente. Um invasor sem autenticação poderia contornar a autenticação e se passar por usuários arbitrários, inclusive contas privilegiadas. O CVSS 3.1 é 10.0
- CVE-2026-76965, 109795, 109803
- Com um login de poucos privilégios: execução de comandos do SO (76965), injeção de código (109795) e execução de código arbitrário por meio de uma transformação XSL não autorizada (109803). O CVSS 3.1 é 9.9
- Versões corrigidas e soluções alternativas
- Não constam nos registros CVE. Veja o texto das SAP Notes
Situação da exploração
Em 11 de novembro de 2026, isto é o que pudemos confirmar.
- Lista da SAP
- Sem menção a exploração
- KEV
- Nenhum dos 45 CVEs da lista da SAP está no catálogo de vulnerabilidades exploradas conhecidas (KEV) da CISA (versão de 10 de novembro, 19h UTC)
- Avaliação da CISA (SSVC)
- Associada a quatro dos registros: CVE-2026-89126, 120017, 109803 e 109795. Todas dizem exploitation: none. 89126 e 120017 são classificadas como automatizáveis; 109803 e 109795 não. O impacto técnico é total nas quatro. 76964, 89103 e 76965 não tinham avaliação quando conferimos
A opinião deste site: «sem exploração» é uma avaliação feita menos de um dia após a publicação. A CISA ainda pode acrescentar avaliações ou alterá-las. Comece pelos pontos de acesso expostos ao exterior antes que isso mude.
O que se sabe e o que não se sabe
| Item | O que foi publicado | Situação |
|---|---|---|
| Números do patch day | 35 notas novas, 4 avisos do GitHub, 3 atualizações (SAP) | Confirmado (SAP) |
| As quatro falhas com CVSS 10.0 | Web Dispatcher, ICM, Gateway, SAML2. Produtos e faixas de versões (lista da SAP, registros CVE) | Confirmado (SAP) |
| As três falhas com CVSS 9.9 | ABAP, S4CRM, Knowledge Management. Exigem um login com poucos privilégios (registros CVE) | Confirmado (SAP) |
| Versões corrigidas e níveis de patch | No texto das SAP Notes (exige login) | Não verificado |
| Soluções alternativas | Não constam na lista nem nos registros CVE | Não informado |
| Exploração | Não consta na lista da SAP nem no KEV; as quatro avaliações da CISA dizem none | Não informado |
| Inclusão no KEV | Não consta na versão de 10 de novembro, 19h UTC | Não informado |
Se você deixa a operação com outra pessoa
Faça estas três perguntas ao seu contratado ou ao seu contato de suporte SAP.
- Quais são as versões do nosso kernel SAP e do SAP_BASIS, e as versões do Web Dispatcher e do ICM
- Quando as SAP Notes da tabela serão aplicadas, e em qual janela de indisponibilidade com reinicialização
- Se o Web Dispatcher e o Gateway são alcançáveis pela internet ou por redes de parceiros, e se usamos autenticação SAML 2.0
A opinião deste site: um inventário de versões agiliza toda atualização mensal
Os patch days da SAP acontecem todo mês, e as atualizações costumam atrasar menos por causa da falha em si do que por causa da organização da janela de indisponibilidade e dos testes. Se você mantém uma lista de quais sistemas são visíveis de fora e qual versão de kernel cada um roda, não precisa começar do zero a cada patch day. Como definir prioridades é tratado em decidir o que corrigir primeiro (CVSS, EPSS, KEV).
Cronologia
10 de novembro de 2026
A SAP realiza seu Security Patch Day: 35 notas, 4 avisos do GitHub e 3 atualizações. No mesmo dia (UTC) são publicados sete registros CVE.10 de novembro (UTC, noite)
A CISA associa avaliações exploitation: none a quatro dos registros CVE. O JSON do KEV (versão das 19h UTC) não contém os CVEs da lista da SAP.11 de novembro
Este site confere a lista da SAP, os registros CVE e o KEV, e publica este artigo.
Fontes (registros públicos)
Consultadas em 11 de novembro de 2026. A publicação da própria SAP vem primeiro. O texto das SAP Notes exige login e não foi conferido.
- SAP, «Security Patch Day - November 2026» (10 de novembro de 2026; em inglês) — support.sap.com
- Registros CVE (publicados em 10 de novembro de 2026; atribuídos pela SAP): CVE-2026-89126 / CVE-2026-76964 / CVE-2026-89103 / CVE-2026-120017 / CVE-2026-76965 / CVE-2026-109795 / CVE-2026-109803
- Catálogo de vulnerabilidades exploradas conhecidas (KEV) da CISA (conferido na versão de 10 de novembro de 2026, 19h UTC) — cisa.gov / JSON
Histórico de atualizações
2026-11-11: Primeira versão, com base na lista da SAP, em sete registros CVE e no KEV (versão de 10 de novembro, 19h UTC). Não há relato de exploração. O texto das SAP Notes não foi conferido.
Leia em seguida
- Após uma divulgação: o que fazer quando uma vulnerabilidade é divulgada / decidir o que corrigir primeiro (CVSS, EPSS, KEV)
- Outra publicação com muitas correções: o aviso de segurança do Jenkins de 28 de outubro de 2026 (15 problemas)
- Preparação: a lista de verificação do inventário de segurança
- Termos: o que é um CVE / o que é CVSS