Uma vulnerabilidade descoberta no coração da infraestrutura SAP acaba de receber a pontuação máxima possível de severidade:
CVSS 10.0.
Identificada como CVE-2026-44756 e batizada de OVERPASS pelos pesquisadores da Onapsis Research Labs, a falha está localizada no código do kernel responsável pelo processamento do SAP Extended Passport (EPP).
O problema permite que um atacante remoto envie dados especialmente manipulados para explorar uma falha de corrupção de memória.
O aspecto mais preocupante é que:
não é necessário possuir usuário ou senha válidos.
Segundo a análise técnica da Onapsis, uma exploração bem-sucedida pode permitir a execução de comandos arbitrários no sistema operacional utilizando os privilégios da conta administrativa responsável pela instalação SAP.
Na prática, o resultado potencial é:
comprometimento completo do ambiente SAP afetado, incluindo dados e processos de negócio.
A publicação compartilhada está correta — mas o risco é ainda maior
A imagem afirma que uma falha de corrupção de memória no kernel SAP poderia entregar aos atacantes controle sobre dados e processos empresariais.
Isso está correto.
Mas falta um detalhe fundamental:
OVERPASS é uma vulnerabilidade pré-autenticação.
O código vulnerável pode ser alcançado antes que o sistema valide as credenciais do usuário.
Isso muda completamente o nível de risco.
Um invasor não precisa primeiro roubar uma senha SAP.
Não precisa comprometer uma conta administrativa.
Não precisa possuir uma sessão legítima.
Dependendo da exposição do sistema, uma requisição de rede especialmente construída pode ser suficiente para atingir o código vulnerável.
SAP confirmou severidade máxima
A SAP corrigiu a vulnerabilidade durante seu Security Patch Day de 8 de setembro de 2026.
A correção está associada à:
SAP Security Note 3747649.
A própria SAP classificou o problema como:
Critical
com:
CVSS 10.0.
A falha afeta diferentes versões do SAP Kernel e componentes relacionados ao processamento do Extended Passport.
Por isso, organizações precisam verificar exatamente suas versões e patch levels contra a nota oficial de segurança.
O que é o SAP Extended Passport?
O nome pode sugerir alguma tecnologia de autenticação.
Não é exatamente isso.
O Extended Passport — EPP é utilizado pelo SAP para rastrear chamadas dentro de ambientes distribuídos.
Imagine uma transação passando por:
aplicação;
servidor;
serviço;
outro sistema SAP;
banco de dados;
integrações.
Para diagnosticar problemas e correlacionar informações entre diferentes componentes, é necessário identificar que essas chamadas fazem parte da mesma sequência.
O Extended Passport ajuda justamente nesse rastreamento.
O problema está na forma como esses dados são processados
Quando o sistema recebe informações EPP, precisa interpretar sua estrutura.
Segundo a descrição técnica, existe uma deficiência na validação de limites durante a desserialização desses dados.
Um atacante pode manipular determinados campos de comprimento enviados externamente.
Isso provoca uma:
violação de segurança de memória.
Em determinadas condições, corrupção de memória pode deixar de ser apenas um crash.
Pode ser transformada em:
execução de código.
É daí que surge o risco de comprometimento total
Uma exploração bem-sucedida pode permitir que comandos sejam executados no host SAP.
E existe um detalhe extremamente importante:
esses comandos podem executar com os privilégios da conta que possui a instalação SAP.
Isso pode colocar o atacante em uma posição muito mais poderosa do que simplesmente comprometer uma conta comum dentro do ERP.
Ele pode chegar à camada do:
sistema operacional.
De uma falha no kernel para os dados da empresa
SAP não é apenas mais um software instalado dentro das organizações.
Em muitas grandes empresas, SAP controla processos como:
financeiro;
faturamento;
compras;
estoque;
produção;
logística;
fornecedores;
recursos humanos;
vendas;
contabilidade.
Por isso, comprometer o sistema pode significar alcançar algumas das informações e operações mais críticas de uma companhia.
O atacante poderia ultrapassar as permissões tradicionais do SAP
Esse é outro aspecto particularmente perigoso.
Organizações investem enormes quantidades de tempo em:
perfis;
roles;
segregação de funções;
autorizações;
controles de acesso.
Essas medidas continuam essenciais.
Mas OVERPASS atinge uma camada anterior.
Se o código vulnerável é processado antes da autenticação, controles tradicionais baseados na identidade do usuário não impedem a exploração inicial da falha.
É uma diferença fundamental.
Segregação de funções não resolve esse problema
No universo SAP, Segregation of Duties — SoD é uma das bases da segurança.
Por exemplo:
a mesma pessoa não deveria conseguir cadastrar um fornecedor e aprovar sozinha um pagamento para ele.
Isso reduz fraudes internas.
Mas OVERPASS não começa perguntando:
“esse usuário possui autorização?”
A exploração ocorre antes dessa etapa.
Portanto, organizações não podem assumir que uma configuração robusta de roles e permissões elimina o risco.
OVERPASS possui múltiplos caminhos de ataque
Talvez este seja o elemento que torna a vulnerabilidade particularmente preocupante.
O processamento do Extended Passport está em código compartilhado do kernel.
Consequentemente, a falha pode ser alcançada através de diferentes protocolos e componentes.
A Onapsis identificou três grandes caminhos:
camada web;
SAP GUI;
RFC.
Isso significa que simplesmente bloquear uma única porta ou interface não necessariamente elimina a exposição.
Primeiro caminho: interfaces web
Ambientes SAP podem disponibilizar serviços pela internet.
Por exemplo:
Fiori;
WebGUI;
APIs;
portais;
serviços web;
integrações B2B e B2C.
Dependendo da arquitetura, essas interfaces podem alcançar o código vulnerável.
Esse é o cenário mais evidente porque o atacante pode estar diretamente na internet.
Mais de 10 mil IPs SAP foram identificados expostos
Em uma busca realizada utilizando fingerprints específicos, pesquisadores da Onapsis identificaram:
mais de 10 mil endereços IP únicos
apresentando interfaces SAP acessíveis publicamente pela internet.
E os pesquisadores consideram esse número:
conservador.
Isso não significa que todos esses 10 mil sistemas estejam necessariamente vulneráveis.
Essa distinção é essencial.
O levantamento mede:
exposição de interfaces SAP.
Para determinar vulnerabilidade, cada organização precisa verificar versões e níveis de correção.
O número real de sistemas acessíveis pode ser maior
Existe ainda uma dificuldade adicional.
Componentes como o:
SAP Web Dispatcher
podem atuar como proxy para sistemas internos sem revelar facilmente características que permitam identificar o backend em varreduras públicas.
Isso significa que alguns ambientes SAP podem não aparecer claramente em pesquisas realizadas em escala global.
Segundo caminho: SAP GUI
Aqui o problema fica ainda mais interessante.
Uma empresa pode pensar:
“nosso SAP não está exposto na internet, então estamos protegidos.”
Não necessariamente.
Funcionários precisam acessar o sistema.
Para isso, o SAP Dispatcher normalmente precisa estar disponível na rede corporativa para os usuários do SAP GUI.
Um atacante que já tenha conseguido entrar na rede interna pode tentar explorar essa superfície.
Basta um primeiro comprometimento da rede
Imagine um funcionário recebendo um phishing.
O computador é comprometido.
O atacante entra na rede corporativa.
A partir dali começa a procurar:
Active Directory;
servidores;
bancos de dados;
SAP.
Mesmo que o ERP esteja completamente isolado da internet pública, ele precisa conversar com determinadas máquinas internas.
Esse acesso necessário ao negócio pode se transformar em uma rota de ataque.
VPN comprometida também pode criar acesso
Outro cenário:
credenciais de VPN são roubadas.
O invasor consegue acesso à rede interna.
Ele talvez não possua nenhuma credencial SAP.
Mas, se conseguir alcançar um serviço vulnerável que processa EPP antes da autenticação, a ausência de usuário SAP deixa de ser uma barreira suficiente.
É justamente isso que torna vulnerabilidades pré-autenticação tão perigosas.
Terceiro caminho: RFC
SAP utiliza intensamente:
Remote Function Call — RFC.
RFC permite comunicação entre:
sistemas SAP;
aplicações;
serviços;
integrações.
Grandes organizações podem possuir ambientes com dezenas ou centenas de sistemas conectados.
Uma vulnerabilidade alcançável através dessas relações cria preocupação adicional com:
movimentação lateral.
Um SAP comprometido pode virar caminho para outro
Imagine uma organização com:
ERP;
BW;
CRM;
sistemas legados;
ambientes de desenvolvimento;
homologação;
produção.
Eles podem possuir relações de confiança e conexões RFC.
Se um ambiente menos protegido for comprometido, o atacante poderá procurar caminhos para sistemas mais críticos.
Por isso, equipes precisam avaliar o problema olhando para:
todo o landscape SAP.
Não apenas para produção.
Desenvolvimento e homologação também importam
Sistemas de teste frequentemente recebem menos atenção.
Mas podem conter:
cópias de bancos de produção;
credenciais;
configurações;
RFCs;
dados reais;
relações de confiança.
E muitas vezes possuem segmentação de rede menos rigorosa.
Um servidor de desenvolvimento aparentemente pouco importante pode se transformar em porta de entrada para ambientes críticos.
Sistemas antigos também precisam entrar no inventário
Existe ainda o clássico problema do:
servidor esquecido.
Uma aplicação foi substituída.
O projeto terminou.
O sistema deixou de ser utilizado.
Mas ninguém desligou o servidor.
Ele continua:
ligado;
na rede;
escutando portas;
sem patches recentes.
Esse tipo de ativo é especialmente perigoso em incidentes de segurança.
A correção não pode ser substituída simplesmente por firewall
Para vulnerabilidades comuns, uma recomendação temporária pode ser:
“bloqueie determinada porta.”
OVERPASS é mais complicada.
Como diferentes caminhos legítimos de comunicação podem alcançar o componente vulnerável, bloquear completamente essas interfaces pode quebrar funcionalidades necessárias para o negócio.
SAP GUI precisa funcionar.
RFC precisa funcionar.
Serviços web podem precisar funcionar.
Por isso, a recomendação central é:
aplicar a atualização do kernel.
Um único patch do kernel fecha os vetores conhecidos
A vantagem é que a origem está no código compartilhado.
Segundo a Onapsis, a correção disponibilizada pela SAP no kernel resolve os caminhos de exploração identificados.
Isso torna a estratégia relativamente clara:
identificar sistemas afetados e aplicar a SAP Security Note 3747649 imediatamente.
Ainda não havia exploração conhecida no momento da divulgação
Existe uma informação importante para evitar alarmismo.
No momento da publicação inicial da pesquisa, a Onapsis afirmou:
não ter observado exploração ativa da OVERPASS no mundo real.
Isso é positivo.
Mas não significa que as empresas possam esperar.
A divulgação pública de uma vulnerabilidade começa uma corrida.
De um lado:
defensores aplicando patches.
Do outro:
pesquisadores e criminosos analisando a correção para descobrir como explorar sistemas ainda vulneráveis.
Patches podem revelar como a vulnerabilidade funciona
Mesmo quando pesquisadores responsáveis não publicam um exploit, atacantes podem comparar:
versão vulnerável;
versão corrigida.
Se descobrirem exatamente qual trecho de código mudou, podem inferir:
onde está a falha;
como acioná-la;
como transformá-la em exploit.
Esse processo é conhecido como:
patch diffing.
SAP já viveu esse problema antes
A própria Onapsis lembra o caso da vulnerabilidade:
RECON — CVE-2020-6287.
Naquele episódio, pesquisadores observaram que atacantes conseguiram desenvolver rapidamente código funcional após a disponibilização das correções.
Isso mostra que existe uma janela crítica entre:
patch publicado
e
patch aplicado.
Quanto maior essa janela, maior o risco.
IA pode diminuir ainda mais esse tempo
Existe uma preocupação adicional em 2026.
Ferramentas de inteligência artificial estão cada vez melhores em:
analisar código;
comparar versões;
identificar alterações;
encontrar vulnerabilidades;
auxiliar desenvolvimento de exploits.
Isso não significa que qualquer pessoa consiga automaticamente transformar um patch em ataque.
Mas pode reduzir o esforço necessário para determinadas etapas de pesquisa ofensiva.
Para defensores, isso significa que o tradicional prazo de semanas para corrigir vulnerabilidades críticas pode estar ficando perigoso demais.
O histórico recente do SAP reforça a urgência
Em 2025, uma vulnerabilidade crítica no ecossistema SAP mostrou exatamente o que pode acontecer quando falhas pré-autenticação passam a ser exploradas em escala.
A CVE-2025-31324, relacionada ao SAP NetWeaver, tornou-se um dos grandes problemas de segurança daquele ano.
Ambientes foram comprometidos rapidamente depois que atacantes começaram a explorar sistemas vulneráveis.
O episódio permanece como alerta para 2026:
não espere o primeiro ataque para aplicar uma correção crítica.
E OVERPASS não veio sozinha
O Patch Day de setembro trouxe outra vulnerabilidade extremamente grave:
CVE-2026-58240.
Ela afeta o:
SAP NetWeaver Message Server.
A falha recebeu:
CVSS 9.8
e também pode ser explorada remotamente sem autenticação.
A Onapsis batizou essa vulnerabilidade de:
S4GET.
Isso transforma setembro em um Patch Day especialmente importante
A SAP publicou em 8 de setembro:
19 novas notas de segurança
e uma atualização de nota anterior.
Entre elas existem múltiplas vulnerabilidades classificadas como críticas.
As duas que mais exigem atenção imediata são:
OVERPASS — CVE-2026-44756 — CVSS 10.0
e
S4GET — CVE-2026-58240 — CVSS 9.8.
Ambas envolvem cenários de ataque remoto sem credenciais.
Outra falha crítica afeta aplicações multitenant
O Patch Day também inclui:
CVE-2026-76969
com:
CVSS 9.4.
O problema envolve exposição de credenciais em aplicações multitenant utilizando a biblioteca SAP Cloud Application Programming Model.
Existe ainda:
CVE-2026-66768
com:
CVSS 9.0
relacionada a controle de acesso inadequado no SAP GUI for Java.
Ou seja, equipes SAP possuem um conjunto significativo de correções para analisar neste ciclo.
Mas OVERPASS merece prioridade máxima
Existem quatro características que, combinadas, tornam a CVE-2026-44756 especialmente perigosa:
CVSS 10.0;
exploração remota;
não exige autenticação;
pode resultar em execução de comandos no sistema operacional.
É difícil criar uma combinação mais preocupante em um ambiente empresarial crítico.
O impacto pode ir muito além de vazamento de dados
Quando falamos de ataques, frequentemente pensamos em:
roubar arquivos.
Mas comprometer um ERP pode significar também:
alterar informações;
modificar pagamentos;
interferir em processos;
criar usuários;
alterar configurações;
interromper operações.
Os três pilares clássicos da segurança aparecem aqui:
confidencialidade;
integridade;
disponibilidade.
E a SAP atribuiu impacto elevado aos três.
Integridade talvez seja o risco menos compreendido
Imagine um atacante roubando uma planilha.
É grave.
Agora imagine um atacante alterando silenciosamente:
conta bancária de fornecedor;
ordem de compra;
estoque;
dados financeiros;
configurações;
processos.
Talvez ninguém perceba imediatamente.
Em sistemas empresariais, manipulação silenciosa pode ser ainda mais perigosa do que indisponibilidade.
SAP é infraestrutura crítica dentro de muitas empresas
Uma empresa pode sobreviver algumas horas sem seu site institucional.
Mas talvez não consiga operar sem:
faturamento;
logística;
produção;
compras;
financeiro.
É por isso que ransomware e ataques contra ERP possuem potencial enorme de interrupção.
Para determinadas organizações, SAP é literalmente parte do sistema nervoso da companhia.
O incidente pode chegar ao banco de dados
Segundo a avaliação da Onapsis, o nível de acesso potencial obtido após exploração pode permitir alcançar informações como:
credenciais do banco;
hashes de senhas;
sessões;
configurações;
dados empresariais.
Isso amplia drasticamente as possibilidades de pós-exploração.
A falha inicial é apenas a porta.
O verdadeiro impacto depende do que o invasor consegue fazer depois de atravessá-la.
O atacante pode tentar estabelecer persistência
Uma vez com execução de comandos, um invasor sofisticado normalmente não quer depender de explorar novamente a mesma vulnerabilidade.
Ele pode tentar criar formas de permanecer no ambiente.
Por exemplo:
contas;
alterações de configuração;
serviços;
modificações em componentes.
Por isso, empresas que identificarem indícios de exploração não devem simplesmente:
aplicar o patch e considerar o incidente encerrado.
Precisam investigar possível comprometimento.
Patch não remove automaticamente um invasor
Essa é uma regra fundamental de resposta a incidentes.
Atualizar fecha a vulnerabilidade.
Mas se alguém já entrou anteriormente, a atualização não necessariamente remove:
persistência;
credenciais roubadas;
backdoors;
alterações;
malware.
Portanto, existem dois cenários diferentes.
Se não houve comprometimento:
corrigir imediatamente.
Se houver evidências ou suspeitas de comprometimento:
corrigir + investigar + responder ao incidente.
Empresas deveriam tratar o caso como emergência
Para organizações que utilizam SAP, o processo deveria começar com inventário.
Quais sistemas utilizam versões afetadas?
Quais são expostos à internet?
Quais recebem conexões via SAP GUI?
Quais possuem RFC?
Quais ambientes de desenvolvimento e teste existem?
Quais sistemas legados continuam online?
Depois:
priorizar aplicação da correção.
Internet-facing primeiro — mas não parar neles
Sistemas acessíveis publicamente possuem risco evidente e devem receber prioridade máxima.
Mas corrigir apenas esses sistemas não é suficiente.
OVERPASS também pode ser relevante internamente.
Portanto, a estratégia precisa avançar para:
produção;
homologação;
desenvolvimento;
sistemas integrados;
ambientes legados.
Monitoramento também precisa aumentar
Durante o período entre divulgação e patch completo, equipes de segurança deveriam elevar o nível de monitoramento.
SOC.
SIEM.
EDR.
Logs SAP.
Tráfego de rede.
Ferramentas especializadas de segurança SAP.
O objetivo é identificar comportamentos anormais que possam indicar tentativa de exploração ou comprometimento.
A publicação compartilhada acerta o alerta
Sim:
OVERPASS é uma vulnerabilidade de corrupção de memória no kernel SAP.
Sim:
pode resultar em comprometimento de dados e processos empresariais.
Mas a história completa é ainda mais preocupante.
Estamos falando da CVE-2026-44756, com:
CVSS 10.0.
Exploração:
remota.
Autenticação:
não necessária.
Possível impacto:
execução de comandos no sistema operacional com privilégios administrativos SAP.
Superfícies:
web, SAP GUI e RFC.
Correção:
já disponível.
Exploração ativa conhecida no momento da divulgação:
não observada pela Onapsis.
É justamente esse último ponto que cria uma oportunidade importante.
Existe uma janela para corrigir os ambientes antes que uma eventual exploração em massa aconteça.
Em cibersegurança, empresas frequentemente são obrigadas a reagir depois do incidente.
No caso da OVERPASS, defensores receberam algo extremamente valioso:
a possibilidade de agir antes.
Para organizações que possuem SAP, portanto, o Patch Day de setembro de 2026 não deveria entrar na fila normal de atualizações.
