Alerta de segurança SAP julho 2026: falhas críticas em ABAP, Approuter e OAuth que podem expor dados e afetar operações

SAP publicou seus adesivos de segurança de julho de 2026 corrigindo várias falhas críticas que afetam ambientes empresariais amplamente usados, entre elas uma vulnerabilidade de escrita fora de limites no SAP NetWeaver Application Server ABAP (CVE-2026-44747) que recebe um escore CVSS quase máximo e que, em cenários onde um atacante está autenticado, pode provocar corrupção de memória com impacto em confidencialidade, integridade e disponibilidade. Embora por agora não haja evidência pública de exploração maciça, a gravidade técnica e o alcance potencial —sistemas ERP, processos financeiros e dados sensíveis — obrigam a priorizar a resposta. Mais informações gerais sobre os avisos de segurança do SAP podem ser consultados na página oficial do SAP: SAP Product Security.

Além da falha na ABAP, os boletins incluem um defeito de HTTP request/response smuggling em implantaçãos do SAP Approuter fora da Cloud Foundry (CVE-2026-27690), que permite a um atacante não autenticado desincronizar pedidos e respostas para exfiltrar informações ou provocar denegações de serviço, e uma configuração padrão do OAuth 2.0 no SAP Commerce Cloud (CVE-2026-44761) onde clientes de exemplo com credenciais públicas podem permanecer em produção e ser reutilizados por atacantes para obter tokens válidos. Os avisos e as informações públicas sobre vulnerabilidades podem ser contrastados com bases de dados como a NVD: NVD - National Vulnerability Database.

Do ponto de vista operacional, a primeira regra é priorizar a aplicação de patches: instale quanto antes as versões do kernel ABAP e os adesivos oficiais para Approuter e Commerce Cloud em ambientes de teste, seguido por ambientes produtivos dentro de uma janela de manutenção controlada. SAP e assinaturas de segurança como Onapsis relataram que como medida temporária pode ser desactivada determinados nodos ICF através da transação SICF, mas essa solução implica perda de funcionalidade da SAP GUI for HTML Por conseguinte, não é viável para muitas organizações; é necessário reservar-se como medida de emergência e valorizar-se junto com as áreas de negócio pelo impacto funcional.

No caso da falha ligada ao OAuth em Commerce Cloud, a remediação imediata e não negociável é auditar a presença de clientes OAuth criados a partir de scripts de exemplo. Se for detectado um cliente com credenciais públicas, o cliente deve ser removido ou o seu segredo deve ser rodado imediatamente por um forte e único. Verifique também que a documentação e os processos de implantação internos não voltem a importar configurações de exemplo em produção e aplique políticas que bloqueiem segredos hard-coded em repositórios ou scripts de implantação.

Para mitigar riscos associados ao smuggling HTTP e a vetores de recusa de serviço, aplique os adesivos oficiais, mas também considere medidas complementares: activar controlos no proxy inverso ou WAF que detectem e bloqueem padrões de desincronização, ajustar timeouts e limites de cabeçalhos e rever regras de segurança no balanceador. Em ambientes onde não seja possível adesivor imediatamente, reduza a exposição de componentes sensíveis a redes públicas e limite acessos por IP ou VPN às camadas de administração e às rotas críticas.

Não subestime a necessidade de visibilidade e detecção: verifique logs de acesso e servidor para padrões incomuns, configure alertas em SIEM para tentativas de uso de credenciais conhecidas, e monitorize tokens OAuth e chamadas API com privilégios elevados. Integre a verificação desses CVE em seu ciclo de gestão de vulnerabilidades e na configuração de digitalização automatizada para evitar regresões em implantaçãos futuros.

Finalmente, considere o impacto regulatório e de negócio: exploração dessas vulnerabilidades poderia implicar fuga de dados pessoais ou manipulação de transações, o que obriga a ativar planos de resposta a incidentes, notificações a stakeholders e, se for caso disso, autoridades regulatórias. Mantenha comunicação com fornecedores e parceiros, documente as ações tomadas e programe uma revisão pós-parche para validar a estabilidade e a cobertura de controles. Para análise e aconselhamento especializado sobre SAP é recomendável consultar fornecedores de segurança com experiência em ERP como Onapsis: Onapsis.