2026-11-11
SAP Security Patch Day de novembro de 2026: quatro falhas com CVSS 10.0. Corrija primeiro o Web Dispatcher e o ICM expostos à internet; como saber se você é afetado e o que fazer hoje
Em 10 de novembro de 2026, o Security Patch Day da SAP publicou 35 novas notas de segurança e 4 avisos de segurança no GitHub, e atualizou 3 notas anteriores. A lista da SAP marca 9 linhas como Critical. Quatro têm CVSS 10.0: corrupção de memória no Internet Communication Manager (ICM) do NetWeaver AS ABAP (CVE-2026-76964) e no SAP Web Dispatcher (CVE-2026-89126), controle de acesso quebrado no SAP Gateway (CVE-2026-89103) e falta de autenticação no provedor de serviço SAML2 do AS ABAP (CVE-2026-120017). Os registros CVE descrevem as quatro como sem autenticação, pela rede e sem interação do usuário (CVE-2026-120017 em certas configurações). Três têm CVSS 9.9 (CVE-2026-109803, CVE-2026-76965, CVE-2026-109795) e exigem um login com poucos privilégios. A lista da SAP não menciona exploração, e nenhum dos CVEs da página está no catálogo KEV da CISA (versão de 10 de novembro, 19h UTC). Das avaliações da CISA associadas aos registros CVE, as quatro que pudemos ver dizem exploitation: none. O texto das SAP Notes exige login e este site não o leu. Conclusão deste site: corrija primeiro o Web Dispatcher e o ICM expostos à internet, confirme os níveis corrigidos nas SAP Notes e planeje a atualização incluindo a reinicialização.