SAP lança 16 correções críticas para segurança em julho de 2026

A SAP publicou em 14 de julho de 2026 um novo pacote de correções no Security Patch Day, com foco em reduzir risco imediato em ambientes corporativos críticos. O conjunto traz 16 notas novas e atualizações de boletins anteriores.

O destaque técnico é a correção de uma falha com pontuação CVSS 9,9 no SAP NetWeaver Application Server ABAP, registrada como CVE-2026-44747 no Patch Day de 14/07/2026. A vulnerabilidade envolve corrupção de memória e pode afetar múltiplas versões do kernel.

Em paralelo, o pacote também endereça problemas considerados críticos no Approuter e no Commerce Cloud, ampliando a urgência para times de segurança e bases SAP expostas à internet.

O que este artigo aborda:

• O que foi corrigido no Patch Day de 14/07/2026
• Por que NetWeaver, Approuter e Commerce Cloud viraram prioridade
• Como empresas no Brasil podem reagir nas próximas 72 horas

O que foi corrigido no Patch Day de 14/07/2026

Segundo o boletim mensal da própria SAP, julho trouxe 16 novas notas, 1 advisory e 3 atualizações de notas já publicadas. O objetivo é orientar a priorização de correções por impacto e severidade.

Entre as falhas críticas, aparecem vetores que costumam ser explorados em cadeias de ataque: corrupção de memória, request smuggling, credenciais inseguras e traversal de diretórios.

Em ambientes grandes, o desafio não é só aplicar patch, mas coordenar paradas, janelas de manutenção e testes de regressão sem interromper faturamento, logística e finanças.

• CVE-2026-44747: corrupção de memória no NetWeaver AS ABAP (CVSS 9,9)
• CVE-2026-27690: HTTP Request Smuggling no SAP Approuter (CVSS 9,1)
• CVE-2026-44761: credenciais de amostra inseguras no Commerce Cloud (CVSS 9,1)
• CVE-2026-40128: Directory Traversal no NetWeaver AS Java (atualização; CVSS 9,0)

Por que NetWeaver, Approuter e Commerce Cloud viraram prioridade

O NetWeaver é base histórica de muitas paisagens SAP e, quando vulnerável, pode virar porta de entrada para movimentação lateral e impacto em processos críticos. A presença de versões diversas aumenta a complexidade.

No caso do Approuter, a falha de request smuggling tende a ganhar atenção porque afeta camadas web e pode provocar efeitos inesperados em roteamento e autenticação quando há proxies e balanceadores.

No Commerce Cloud, o risco de credenciais “de exemplo” é operacional: o problema não depende apenas de código, mas de governança, hardening e remoção de padrões inseguros.

• Equipes devem mapear quais componentes SAP estão expostos externamente
• É recomendável priorizar patches com CVSS acima de 9,0
• Testes devem incluir integrações, SSO e fluxos de API

Como empresas no Brasil podem reagir nas próximas 72 horas

O primeiro passo é inventariar: onde há NetWeaver ABAP, NetWeaver Java, Approuter e Commerce Cloud, e quais versões estão em produção. Sem isso, a priorização vira tentativa e erro.

Na sequência, a execução costuma seguir uma trilha: validar dependências, revisar notas, planejar janelas e aplicar correções. A SAP reforça que as correções devem ser implementadas com prioridade no ecossistema de suporte.

Uma leitura rápida do impacto ajuda a orientar a resposta: a cobertura especializada destacou que o pacote de julho inclui correções críticas em NetWeaver e Commerce Cloud, com recomendação de ação imediata para administradores. Análises técnicas apontam foco em falhas críticas de ERP.

1. Identificar sistemas afetados e exposição externa
2. Aplicar patches críticos primeiro e monitorar indicadores
3. Revisar configurações e remover credenciais padrão
4. Atualizar playbooks de incidentes e regras de WAF quando houver

No Brasil, a recomendação prática é tratar o Patch Day como evento de risco: alinhar TI, segurança e negócio. A cobertura local também reforçou que o pacote de 14/07/2026 concentrou quatro vulnerabilidades críticas e classes de falhas recorrentes em ambientes corporativos. O alerta cita as quatro falhas críticas corrigidas no dia 14/07/2026.