A SAP corrigiu 20 falhas de segurança em vários produtos em suas atualizações de outubro de 2026. Entre elas está uma vulnerabilidade de severidade máxima no SAP Cloud SDK for Python.
O SDK oficial da SAP para Python é um conjunto de ferramentas usado no desenvolvimento de agentes de AI e aplicativos em Python para os serviços da SAP Business Technology Platform (BTP).
Identificada como
CVE-2026-89111
, a falha corrigida neste mês pode ser explorada remotamente, sem necessidade de privilégios, para roubar credenciais.
Clientes que não puderem instalar imediatamente as correções de outubro de 2026 podem reduzir temporariamente o risco usando uma lista de permissões para validar os valores de tenant_subdomain.
“O SAP Cloud SDK for Python contém uma vulnerabilidade de SSRF em OAuth2 que afeta aplicativos BTP multitenant. Um invasor que controle o parâmetro tenant_subdomain pode redirecionar solicitações de tokens OAuth2 para um servidor sob seu controle, fazendo com que as credenciais do cliente sejam exfiltradas”, informou a SAP em um comunicado divulgado na terça-feira.
“Os aplicativos que usam o SDK podem reduzir o risco validando tenant_subdomain em relação a uma lista de permissões com os subdomínios conhecidos de locatários registrados antes de repassar o valor a qualquer chamada do SDK.”
A SAP também corrigiu nesta terça-feira a
CVE-2026-89110
, uma falha crítica de controle de acesso no SAP NetWeaver Visual Composer. A vulnerabilidade poderia permitir que invasores remotos com privilégios limitados comprometessem totalmente os sistemas afetados.
Outra falha crítica corrigida pela empresa, identificada como
CVE-2026-89108
, afeta o SAP Manufacturing Integration and Intelligence. Ela permite que agentes de ameaça com privilégios de administrador assumam o controle administrativo do sistema subjacente ao criar uma conta com privilégios elevados no aplicativo Java.
Nos últimos meses, a SAP corrigiu outras falhas de severidade máxima em diferentes componentes. Em agosto, por exemplo, a empresa corrigiu a
CVE-2026-58231
na plataforma de comércio eletrônico SAP Commerce Cloud. A empresa de inteligência sobre ameaças Defused informou que a vulnerabilidade já era explorada em ataques poucos dias após a aplicação da correção.
Mais recentemente, em setembro, a SAP corrigiu a
CVE-2026-44756
, uma falha de corrupção de memória no código do SAP Kernel. Pesquisadores de segurança da Onapsis, que relataram o problema, apelidaram a vulnerabilidade de OVERPASS. Na época, estimativas da Onapsis indicavam que mais de 10.000 sistemas SAP acessíveis pela internet usavam o componente vulnerável e poderiam estar expostos a ataques que explorassem a falha.
Desde novembro de 2021, a Cybersecurity and Infrastructure Security Agency (CISA) incluiu 14 falhas de segurança da SAP em seu catálogo de vulnerabilidades exploradas ativamente. Três delas foram usadas em ataques de ransomware.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...