---
title: "SAP corrige quatro falhas de segurança com nota máxima"
author: "Gabriela P. Torres"
date: "2026-11-13 06:07:35.011-03"
category: "Segurança & Privacidade"
url: "https://desbugados.com.br/post/2026/11/13/sap-corrige-quatro-falhas-de-seguranca-com-nota-maxima"
---

## Resumo
- A atualização de segurança da SAP de novembro de 2026 corrigiu 35 vulnerabilidades.
- Quatro falhas receberam nota 10/10 na escala CVSS.
- As vulnerabilidades afetam o NetWeaver Application Server ABAP, o SAP Gateway e o SAP Web Dispatcher.
- A fonte descreve possibilidade de exploração remota sem autenticação, mas não confirma ataques em andamento.
- A Onapsis descobriu e relatou três falhas, chamadas ICM2SHELL e PROXYGATE.
- As informações reunidas na pauta não especificam versões afetadas nem procedimentos de instalação.

---

A **SAP** corrigiu **35 vulnerabilidades** em sua atualização de segurança de novembro de 2026, incluindo quatro falhas classificadas com a nota máxima de **10/10 no CVSS**, escala usada para pontuar a gravidade de vulnerabilidades. A checagem confirma o ponto central do anúncio: os problemas atingem produtos corporativos da SAP e, segundo a fonte, podem ser explorados remotamente sem autenticação. Isso descreve uma capacidade técnica, não comprova que ataques estejam ocorrendo agora. [A reportagem da BleepingComputer detalha as falhas](https://www.bleepingcomputer.com/news/security/sap-patches-four-maximum-severity-security-vulnerabilities).


## Quatro falhas, três produtos


O **NetWeaver Application Server ABAP** concentra duas das vulnerabilidades máximas, localizadas no Internet Communication Manager e no SAML2 Service Provider. A primeira é descrita como corrupção de memória, uma falha relacionada ao modo como o software lida com dados na memória; a segunda envolve ausência de autenticação. As outras duas atingem produtos distintos: uma falha de controle de acesso no **SAP Gateway** e outra de corrupção de memória no **SAP Web Dispatcher**. [A fonte identifica as vulnerabilidades como CVE-2026-76964, CVE-2026-120017, CVE-2026-89103 e CVE-2026-89126](https://www.bleepingcomputer.com/news/security/sap-patches-four-maximum-severity-security-vulnerabilities).


Essas categorias apontam para problemas diferentes, não para uma única falha repetida em quatro produtos. No Gateway, a questão é o controle de acesso; no Web Dispatcher, é corrupção de memória. Já no NetWeaver, a atualização trata tanto de corrupção de memória quanto de autenticação ausente em componentes separados. A fonte atribui nota **10/10** a cada uma das quatro vulnerabilidades, mas a pontuação, sozinha, não informa quais versões específicas precisam de correção.


## O que a gravidade confirma


A descrição da atualização afirma que as falhas podem ser exploradas remotamente por atacantes não autenticados, sem senha ou interação do usuário, para obter comprometimento total do sistema afetado. Esse é o impacto técnico relatado pela fonte. A formulação não equivale a um registro de exploração ativa: nas informações reunidas para esta pauta, não há confirmação de ataques em andamento. Separar essas duas afirmações evita transformar possibilidade de exploração em notícia de invasão confirmada.


Três das quatro falhas foram descobertas e relatadas pela empresa de cibersegurança **Onapsis**. A empresa acompanha duas delas, CVE-2026-76964 e CVE-2026-89126, sob o nome **ICM2SHELL**; a CVE-2026-89103 é chamada de **PROXYGATE** e descrita como execução remota de código antes da autenticação. O material disponível não detalha as versões afetadas nem os procedimentos específicos de instalação dos patches. O veredito, portanto, é delimitado: quatro falhas receberam a classificação máxima e foram corrigidas pela SAP; informações sobre versões e aplicação precisam ser verificadas nas orientações técnicas da fabricante.