Descoberta e escopo
O dia de correção de segurança da SAP em agosto de 2026 resultou na publicação de 28 novas notas de segurança e uma atualização de aviso de segurança no GitHub, além de duas atualizações em notas anteriormente lançadas. O ciclo de patches mitiga várias falhas de gravidade crítica que podem permitir que atacantes não autenticados injetem código malicioso, corrompam a memória do sistema e escalem privilégios em plataformas empresariais amplamente implantadas.
Considerando a extensa dependência empresarial dos sistemas SAP para planejamento de recursos empresariais, finanças, cadeia de suprimentos e operações de comércio, as equipes de segurança são fortemente aconselhadas a tratar este ciclo de atualização como uma prioridade de emergência. A falha mais alarmante resolvida este mês é uma vulnerabilidade de autorização inadequada no Adaptador Data Hub do SAP Commerce Cloud, rastreada como CVE-2026-58231, com pontuação máxima de CVSS de 10.0.
Impacto e alcance
A pontuação de severidade máxima indica que a exploração não requer privilégios anteriores ou interação do usuário, concedendo aos atacantes remotos controle completo sobre confidencialidade, integridade e disponibilidade. Seguindo de perto está uma vulnerabilidade crítica de injeção de código no SAP Manufacturing Integration and Intelligence, designada como CVE-2026-44772 com pontuação CVSS de 9.9.
Impactando as versões XMII e MII_ADMIN 15.4 e 15.5, a exploração bem-sucedida permite que adversários executem código arbitrário dentro de software de produção crítico. Uma segunda falha de injeção de código no mesmo componente, CVE-2026-44758 (CVSS 9.1), completa o nível crítico. Riscos de corrupção de memória também se destacam neste ciclo de lançamento.
Rastreado como CVE-2026-34265 com pontuação CVSS de 9.8, um bug grave de corrupção de memória impacta o componente Application Server ABAP dentro do SAP NetWeaver e da Plataforma ABAP. A vulnerabilidade abrange uma ampla gama de versões de kernel, desde 7.22 até as versões modernas 9.19. Falhas de corrupção de memória em servidores de aplicativos centrais são particularmente perigosas porque adversários podem armá-las para alcançar execução remota de código, estabelecendo acesso inicial para pivotar lateralmente através das redes corporativas.
Medidas de mitigação recomendadas
As equipes de segurança devem priorizar a aplicação destes patches imediatamente. Os administradores de segurança devem identificar instâncias expostas, inventariando todas as implantações SAP públicas e internas executando Commerce Cloud, NetWeaver ou MII. É crucial aplicar patches para CVE-2026-58231, CVE-2026-44772 e CVE-2026-34265 em um cronograma de manutenção de emergência.
Além disso, auditar ferramentas de desenvolvimento para atualizar módulos SAP_BASIS e resolver riscos de escalonamento de privilégios em ambientes de desenvolvimento é essencial. Verificar bibliotecas de terceiros, garantindo que dependências subjacentes como pyodata e Bouncy Castle sejam atualizadas em extensões de aplicativos personalizados, completa o ciclo de mitigação.
Implicações regulatórias (LGPD)
A exposição de dados sensíveis através de falhas de autorização e injeção de código pode violar requisitos de proteção de dados sob a LGPD. Organizações brasileiras que utilizam SAP para processamento de dados pessoais devem avaliar o impacto potencial e notificar a ANPD se houver vazamento confirmado, garantindo a conformidade com os prazos legais de notificação de incidentes.
Perguntas frequentes
Qual é a prioridade máxima? A correção das falhas com CVSS 10.0 e 9.9 deve ser a prioridade absoluta devido ao risco de execução remota de código sem autenticação.
Existe exploração ativa? Até o momento, não há evidências públicas de exploração ativa, mas a natureza crítica das falhas sugere que os atacantes podem desenvolver exploits rapidamente.
Como verificar a exposição? Utilize ferramentas de inventário de ativos para identificar todas as instâncias SAP e compare as versões instaladas com as notas de segurança publicadas.