SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Execution
Atualização mensal de segurança da SAP resolveu quatro falhas com CVSS 10.0, três no NetWeaver e uma no Web Dispatcher, todas exploráveis sem autenticação e com possibilidade de RCE remota.
A SAP corrigiu quatro falhas que o fornecedor classifica como 10.0 (máximo CVSS): três no SAP NetWeaver application server (incluindo SAML2 service provider e Internet Communication Manager/ICM) e uma no Web Dispatcher (CVE-2026-120017, CVE-2026-76964, CVE-2026-89103, CVE-2026-89126). Todas podem ser exploradas sem autenticação: CVE-2026-120017 permite logar como qualquer usuário em algumas configurações SAML (inclusive contas privilegiadas); CVE-2026-76964 e CVE-2026-89126 permitem corrupção de memória e RCE via tráfego de rede; CVE-2026-89103 permite que um atacante se passe por um application server e execute ações não autorizadas. Nenhuma exige interação de usuário.
Por que importa e o que fazer: trate as SAP Notes indicadas como prioridade e aplique os patches (veja Note 3778530, 3778556, 3798345, 3849308). RedRays recomenda atualizar kernel e todos os Web Dispatchers em um rollout que cubra os níveis listados; habilitar gw/acl_mode_proxy e verificar gw/acl_mode=1, restringir acesso ao porto 33xx, localizar todos os Web Dispatchers e, se necessário, desligar WebSocket como mitigação temporária até o patch.
- #cve
- #cisa
- #sap
- #netweaver
- #web-dispatcher
Segundo The Hacker News(abre em nova aba)· fonte oficial pendente