SAP: aceite o patch com prova de rota e configuração ativa
As correções SAP de novembro exigem verificar o componente, o caminho de acesso e a configuração efetiva. Organize essas evidências para aceitar a mudança sem depender apenas do inventário de versões.
Read in EnglishPor Pentesty
Separe os componentes antes de aprovar a mudança
O boletim público da SAP de 10 de novembro de 2026 relaciona correções de severidade máxima para ICM, Web Dispatcher, Gateway e o provedor SAML2. São quatro referências distintas: CVE-2026-76964, CVE-2026-89126, CVE-2026-89103 e CVE-2026-120017. O registro publicado pela SAP como CNA descreve, neste último caso, possibilidade de personificação de usuários em determinadas configurações de autenticação.
Na pesquisa ICM2SHELL, a Onapsis descreve corrupção de memória no código de WebSocket compartilhado por ICM e Web Dispatcher. O componente de borda também precisa ser avaliado individualmente.
A pesquisa PROXYGATE trata da confiança do SAP Gateway em conexões de proxy. Segundo a Onapsis, o estado de prxyinfo e, quando aplicável, gw/acl_mode_proxy integra a avaliação; revisar somente secinfo e reginfo não encerra esse trabalho.
Faça o desenho corresponder ao ambiente observado
Para a empresa, a pergunta de aceite é concreta: qual componente respondeu a cada conexão depois da mudança? Proponha uma linha por instância, identificando responsável, função, versão observada, origem autorizada e destino. Inclua ambientes de teste que guardam dados empresariais. Uma lista de nomes de servidores não demonstra que o caminho usado por uma integração termina no componente registrado.
Compare o desenho aprovado com uma observação de rede autorizada. Registre se a comunicação chega ao intermediário previsto e se existe outro caminho até o backend. Uma conexão negada só serve como evidência quando estão registrados a origem, o destino e o controle que respondeu. Falta de resposta, sozinha, pode representar uma falha de coleta e exige apuração.
Reúna evidências que permitam repetir a decisão
O registro pode ser pequeno, desde que permita a outro responsável conferir a conclusão. Defina antes da janela o resultado esperado para uma integração legítima, a condição de recusa de uma origem não autorizada e a pessoa que decide sobre indisponibilidade. Use identificadores fictícios e procedimentos suportados; este roteiro não exige reproduzir a exploração descrita pelos pesquisadores.
- Identidade: associe cada evidência à instância e ao componente efetivamente observado. Registre horário, versão, nível de atualização e a referência da instrução consultada pelo responsável SAP Basis.
- Configuração: compare o estado efetivo com a política aprovada. Arquivo alterado, transporte concluído ou tela de gerenciamento, isoladamente, não demonstram qual configuração o processo está usando.
- Funcionamento: preserve o resultado da conexão permitida e do teste benigno de recusa. Relacione ambos à mesma janela e registre desvios, dependências e o responsável por cada exceção.
A aprovação pertence ao conjunto das evidências
Uma equipe pode entregar o pacote e outra validar a rota. O aceite deve reunir essas observações no mesmo registro, mantendo a distinção entre conclusão comprovada, verificação incompleta e exceção aceita temporariamente. A ausência de dados não deve virar um resultado favorável. Se uma instância ficou fora da janela, registre-a expressamente com responsável e próxima ação.
O material público não substitui a nota aplicável à instalação. A consulta autenticada da SAP e a validação operacional continuam necessárias para decidir versões, parâmetros e reinícios. A mesma disciplina aparece no aceite de atualização do PowerSYSTEM Center: o pacote entregue precisa estar ligado ao estado que foi observado. A avaliação proposta aqui orienta essa comprovação e não garante ausência de comprometimento.
Perguntas frequentes
Ver secinfo e reginfo basta para encerrar PROXYGATE?
Não. A análise primária aponta para a política de proxy. O aceite precisa registrar a regra efetiva e a instrução de correção aplicável ao kernel observado.
Um Web Dispatcher corrigido protege todos os backends?
Essa conclusão exige comprovar as condições da orientação específica e a exclusividade do caminho. Uma rota direta ao backend precisa de avaliação própria.
Preciso executar um exploit para aceitar a mudança?
Este roteiro propõe leitura de configuração e testes benignos de acesso, com autorização e dados fictícios. Uma investigação de comprometimento tem escopo e evidências próprios.
O anúncio confirma ataques aos clientes?
A Onapsis não relatava exploração ativa de ICM2SHELL e PROXYGATE nos comunicados consultados de 10 de novembro. Essa observação limitada não demonstra ausência de incidentes.
Fontes e referências
- Cyber Security Brazil: referência editorial da notícia
- BleepingComputer: cobertura das quatro falhas SAP
- SecurityWeek: cobertura ICM2SHELL e PROXYGATE
- Cybersecurity News: contexto SAP Gateway e ICM
- SAP: boletim público de novembro de 2026
- Onapsis: pesquisa original PROXYGATE
- Onapsis: pesquisa original ICM2SHELL
- CVE-2026-120017: registro publicado pela SAP
Análise original da Pentesty, publicada em 10 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.