A SAP lançou as suas atualizações de segurança de setembro de 2026, corrigindo 20 vulnerabilidades nos seus diversos produtos. De acordo com os detalhes partilhados pela Onapsis, o grande destaque deste mês é a resolução de uma falha de corrupção de memória de gravidade máxima localizada no código do SAP Kernel.
O impacto da vulnerabilidade OVERPASS
Identificada sob o registo CVE-2026-44756, esta debilidade recebeu o nome de OVERPASS pelos investigadores de segurança que a reportaram. O problema tem origem numa fraqueza clássica de transbordo de buffer (buffer overflow) na biblioteca de processamento do Extended Passport Protocol (EPP).
Se explorada com sucesso, esta debilidade permite que piratas informáticos sem privilégios executem comandos arbitrários com permissões de administrador. O resultado é o comprometimento total dos processos da SAP e da informação empresarial armazenada. O ataque pode ser concretizado através do SAP Internet Communication Manager (ICM), o componente de rede que liga o SAP System à Internet através dos protocolos HTTP, HTTPS e SMTP.
A dimensão da exposição é vasta. JP Perez-Etchegoyen, CTO da Onapsis, referiu que uma pesquisa direcionada identificou mais de 10.000 endereços IP únicos virados para a Internet que apresentam uma interface web da SAP acessível. O responsável nota ainda que este número é conservador, uma vez que subestima o SAP Web Dispatcher, cujo funcionamento dificulta a atribuição através de varrimentos genéricos na Internet.
Acesso não autorizado através do S4GET
As atualizações resolveram também a CVE-2026-58240, uma vulnerabilidade crítica de falta de autenticação no SAP NetWeaver Message Server, batizada como S4GET. Após uma exploração bem-sucedida, os atacantes conseguem aceder a todo o cluster do sistema e executar comandos arbitrários remotamente através da rede.
Segundo Pablo Artuso, investigador de segurança da Onapsis, o ataque é desencadeado na mesma porta pública à qual os clientes SAP GUI se ligam. Isto significa que o problema não pode ser mitigado por firewalls sem interromper o início de sessão dos utilizadores legítimos. A exploração garante a execução remota de código ao nível do sistema operativo em todos os servidores da aplicação.
Este reforço de segurança surge depois de a SAP ter corrigido, no mês passado, outra debilidade de gravidade máxima (CVE-2026-58231) na plataforma Commerce Cloud, que foi ativamente explorada poucos dias após o lançamento da correção. Desde novembro de 2021, a agência norte-americana CISA já adicionou 14 problemas de segurança da SAP à sua lista de exploração ativa, dos quais 3 foram utilizados por grupos de ransomware. A empresa alemã faturou mais de 36 mil milhões de euros no ano fiscal de 2025 e fornece os seus serviços a 99 das 100 maiores empresas a nível mundial.
Nenhum comentário
Seja o primeiro!