SAP Patch Day de novembro de 2026: falhas em NetWeaver, Web Dispatcher e Gateway, quatro com CVSS 10.0
Em 10 de novembro de 2026, a SAP publicou seu boletim mensal de segurança, e o CERT-FR (cert.cyber.gouv.fr) o repassou no aviso CERTFR-2026-AVI-1497. O aviso cobre dezenas de produtos, incluindo SAP NetWeaver (AS ABAP, Message Server, Internet Communication Manager, SAML2 Service Provider), SAP Web Dispatcher, SAP Gateway, Business Objects e S4CRM, e lista 45 identificadores CVE sem vinculá-los a um produto específico. Segundo a imprensa especializada, o boletim trouxe 35 novas notas de segurança, quatro GitHub Security Advisories e três atualizações de notas anteriores (cybersecuritynews.com). Quatro falhas receberam a pontuação máxima de CVSS 10.0, todas exigindo nenhuma credencial e nenhuma interação do usuário: CVE-2026-76964 (corrupção de memória no Internet Communication Manager do NetWeaver AS ABAP, nota 3778530), CVE-2026-89126 (Web Dispatcher, nota 3778556), CVE-2026-89103 (quebra de controle de acesso no Gateway, nota 3798345) e CVE-2026-120017 (autenticação ausente no SAML2 Service Provider, nota 3849308) (cybersecuritynews.com). O aviso do CERT-FR não informa pontuação CVSS, vetor, pré-requisitos nem exploração ativa. A página do boletim da SAP não pôde ser aberta durante a pesquisa, e nenhuma fonte consultada relata exploração em campo, por isso a urgência é alta: a combinação de CVSS 10.0 sem autenticação em componentes de rede do NetWeaver justifica prioridade máxima de correção.
Entenda a falha
A vulnerabilidade
SAP's November 2026 Patch Day (relayed by CERT-FR) covers dozens of SAP products and 45 CVEs. Four score CVSS 10.0, need no credentials and no user interaction: CVE-2026-76964 (memory corruption in the NetWeaver AS ABAP Internet Communication Manager, note 3778530, kernels 7.53 to 9.20), CVE-2026-89126 (Web Dispatcher, note 3778556), CVE-2026-89103 (broken access control in Gateway, note 3798345) and CVE-2026-120017 (missing authentication in the SAML2 Service Provider, note 3849308). Three more score 9.9 and need low privileges: CVE-2026-109803 (Knowledge Management XML Forms), CVE-2026-76965 (ABAP Application Server) and CVE-2026-109795 (S4CRM). CERT-FR lists remote code execution, denial of service and loss of confidentiality as impacts, but does not link each CVE to a product. Fixed versions are not named; the fix is to apply the SAP notes.
Como funciona
The articles do not describe the internal flow of any of these flaws. They only say that the critical ones involve memory corruption, missing authentication, broken access control and code injection, and that the four CVSS 10.0 flaws are reachable over the network without credentials in components that receive external requests (ICM, Web Dispatcher, Gateway, SAML2 Service Provider). Which input reaches which routine, and at which step it fails, has not been published in the material available.
Por que é vulnerável
The articles only give the weakness class per flaw: memory corruption for CVE-2026-76964, broken access control for CVE-2026-89103 and missing authentication for CVE-2026-120017. The root cause in code, why they went unnoticed and what each SAP note changes are not described. The SAP bulletin page could not be opened during research.
Como foi descoberta
The flaws were disclosed through SAP's monthly security bulletin of 10 November 2026 (november-2026), which CERT-FR relayed as CERTFR-2026-AVI-1497. Trade press cited by the story counts 35 new security notes, four GitHub Security Advisories and three updates to earlier notes. The articles do not say who found each flaw or how, and no source reports exploitation in the wild.
Explicação gerada por IA a partir da matéria e dos artigos, em 10/11/2026 13:34.
Detalhes técnicos
O aviso do CERT-FR associa às falhas efeitos de execução de código arbitrário remoto, negação de serviço remota e perda de confidencialidade de dados, sem especificar o componente de cada CVE. Segundo a imprensa, as falhas críticas tratam de corrupção de memória, falta de autenticação, quebra de controle de acesso e injeção de código (cybersecuritynews.com). A CVE-2026-76964 afeta KRNL64UC 7.53 e KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 e 9.20 (cybersecuritynews.com). Os três avisos com nota 9.9 são CVE-2026-109803 (NetWeaver Knowledge Management, XML Forms), CVE-2026-76965 (ABAP Application Server) e CVE-2026-109795 (S4CRM), e exigem privilégios baixos (cybersecuritynews.com).
Remediação
Aplicar as notas de segurança do boletim november-2026 da SAP em cada sistema afetado, começando pelas quatro falhas com CVSS 10.0 e pelos componentes expostos à rede (Internet Communication Manager, Web Dispatcher, Gateway e SAML2). Como o aviso do CERT-FR não associa cada CVE a um produto, confirmar no boletim da SAP quais notas se aplicam a cada instalação, inclusive o SAP Host Agent, o Solution Tools Plug-In e o astonish (SAP/astonish, versões anteriores à 3.6.0). Verificar a exposição de portais e serviços de Web Dispatcher e Gateway à internet e restringir o acesso enquanto as correções não forem aplicadas.
Linha do tempo
-
SAP Patch Day de novembro de 2026: falhas em NetWeaver, Web Dispatcher e Gateway, quatro com CVSS 10.0
ler a análise desta fonte ocultar
Em 10 de novembro de 2026, a SAP publicou seu boletim mensal de segurança, e o CERT-FR (cert.cyber.gouv.fr) o repassou no aviso CERTFR-2026-AVI-1497. O aviso cobre dezenas de produtos, incluindo SAP NetWeaver (AS ABAP, Message Server, Internet Communication Manager, SAML2 Service Provider), SAP Web Dispatcher, SAP Gateway, Business Objects e S4CRM, e lista 45 identificadores CVE sem vinculá-los a um produto específico. Segundo a imprensa especializada, o boletim trouxe 35 novas notas de segurança, quatro GitHub Security Advisories e três atualizações de notas anteriores (cybersecuritynews.com). Quatro falhas receberam a pontuação máxima de CVSS 10.0, todas exigindo nenhuma credencial e nenhuma interação do usuário: CVE-2026-76964 (corrupção de memória no Internet Communication Manager do NetWeaver AS ABAP, nota 3778530), CVE-2026-89126 (Web Dispatcher, nota 3778556), CVE-2026-89103 (quebra de controle de acesso no Gateway, nota 3798345) e CVE-2026-120017 (autenticação ausente no SAML2 Service Provider, nota 3849308) (cybersecuritynews.com). O aviso do CERT-FR não informa pontuação CVSS, vetor, pré-requisitos nem exploração ativa. A página do boletim da SAP não pôde ser aberta durante a pesquisa, e nenhuma fonte consultada relata exploração em campo, por isso a urgência é alta: a combinação de CVSS 10.0 sem autenticação em componentes de rede do NetWeaver justifica prioridade máxima de correção.
Detalhes Técnicos
O aviso do CERT-FR associa às falhas efeitos de execução de código arbitrário remoto, negação de serviço remota e perda de confidencialidade de dados, sem especificar o componente de cada CVE. Segundo a imprensa, as falhas críticas tratam de corrupção de memória, falta de autenticação, quebra de controle de acesso e injeção de código (cybersecuritynews.com). A CVE-2026-76964 afeta KRNL64UC 7.53 e KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 e 9.20 (cybersecuritynews.com). Os três avisos com nota 9.9 são CVE-2026-109803 (NetWeaver Knowledge Management, XML Forms), CVE-2026-76965 (ABAP Application Server) e CVE-2026-109795 (S4CRM), e exigem privilégios baixos (cybersecuritynews.com).
Remediação
Aplicar as notas de segurança do boletim november-2026 da SAP em cada sistema afetado, começando pelas quatro falhas com CVSS 10.0 e pelos componentes expostos à rede (Internet Communication Manager, Web Dispatcher, Gateway e SAML2). Como o aviso do CERT-FR não associa cada CVE a um produto, confirmar no boletim da SAP quais notas se aplicam a cada instalação, inclusive o SAP Host Agent, o Solution Tools Plug-In e o astonish (SAP/astonish, versões anteriores à 3.6.0). Verificar a exposição de portais e serviços de Web Dispatcher e Gateway à internet e restringir o acesso enquanto as correções não forem aplicadas.