Segurança · 16 de outubro de 2026
SAP corrige falha crítica de segurança em SDK para Python
A SAP corrigiu vinte falhas de segurança em seus produtos durante as atualizações de outubro de 2026, incluindo uma vulnerabilidade de severidade máxima no SDK para Nuvem em Python. A empresa alemã, que atende 99 das 100 maiores companhias do mundo e reportou receitas superiores a 36 bilhões de euros no exercício fiscal de 2025, emitiu um aviso sobre o risco.
A vulnerabilidade, identificada como CVE-2026-89111, afeta o SDK oficial para desenvolvimento de agentes de inteligência artificial e aplicações em Python na plataforma de tecnologia de negócios da SAP. De acordo com o aviso emitido na terça-feira, um atacante remoto sem privilégios pode explorar a falha para roubar credenciais. O problema ocorre porque um invasor que controla o parâmetro de subdomínio do inquilino pode redirecionar as solicitações de token para um servidor controlado por ele, resultando na exfiltração das credenciais do cliente.
Clientes que não conseguem implantar imediatamente os patches de outubro podem mitigar temporariamente o problema validando os valores do subdomínio do inquilino contra uma lista de permissões conhecida antes de passá-los para qualquer chamada do SDK. A SAP também corrigiu hoje a CVE-2026-89110, uma falha crítica de controle de acesso quebrado no NetWeaver Visual Composer, que permite a atacantes remotos com privilégios limitados comprometer totalmente os sistemas vulneráveis.
Outra falha crítica corrigida hoje, a CVE-2026-89108, afeta o SAP Manufacturing Integration and Intelligence. Ela permite que atores de ameaça com privilégios de administrador obtenham controle de administrador sobre o sistema subjacente ao provisionar uma conta com privilégios elevados no aplicativo Java subjacente.
Nos últimos meses, a SAP corrigiu outras falhas de severidade máxima. Em agosto, a empresa corrigiu a CVE-2026-58231 na plataforma de comércio eletrônico Commerce Cloud, que a empresa de inteligência de ameaças Defused apontou como ativamente explorada em ataques dias após o reparo. Em setembro, a SAP corrigiu a falha de corrupção de memória CVE-2026-44756 no código do SAP Kernel, batizada de OVERPASS por pesquisadores da Onapsis. Estimativas da Onapsis indicam que mais de 10.000 sistemas da SAP voltados para a internet usam o componente vulnerável e podem estar expostos a ataques.
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos adicionou 14 falhas de segurança da SAP ao seu catálogo de vulnerabilidades ativamente exploradas desde novembro de 2021, três das quais foram usadas em ataques de ransomware.