CVE-2026-0488: Injeção de código no SAP CRM e SAP S/4HANA (Scripting Editor)
A SAP divulgou a CVE-2026-0488, uma injeção de código de criticidade alta no SAP CRM e no SAP S/4HANA (Scripting Editor), com pontuação CVSS base de 9,9 conforme registrado. O registro descreve um invasor autenticado capaz de executar funcionalidades não autorizadas, incluindo instruções SQL arbitrárias. Não há exploração confirmada nas fontes consultadas.
Visão geral
A SAP publicou a CVE-2026-0488, uma injeção de código no SAP CRM e no SAP S/4HANA (Scripting Editor). O registro a classifica sob a CWE-862 (Missing Authorization) e descreve um invasor autenticado que abusa de uma falha em uma chamada a módulo de função genérico.
Impacto
- Segundo o registro, a falha permite executar funcionalidades críticas não autorizadas, incluindo instruções SQL arbitrárias.
- O registro indica alto impacto na confidencialidade, integridade e disponibilidade, com possível comprometimento completo do banco de dados.
- A pontuação base registrada é 9,9 (crítica), conforme informada pelo NVD e pela SAP.
Produtos e versões afetados
- SAP CRM e SAP S/4HANA (Scripting Editor): o registro lista diversas linhas de release, incluindo 107, 108, 109, 800 e 801.
- SAP S/4HANA: são listadas as linhas de release de 102 até 109.
- SAP NetWeaver Application Server ABAP: linha de release 700.
- SAP Webclient UI Framework: linhas de release de 700 até 801, conforme listado no registro.
- O registro não contém lista de versões corrigidas. Consulte a SAP Note 3697099 para a correção aplicável.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA.
- A exploração no SSVC está registrada como none e a automatização como no.
- Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Analise as informações do SAP Security Patch Day e a SAP Note 3697099, e aplique a correção em cada release afetada.
- Restrinja as autorizações que permitem usar o Scripting Editor e chamadas relacionadas a módulos de função ao menor conjunto de usuários necessário.
- Priorize sistemas em que muitos usuários possuem autorizações amplas.
Orientações para detecção
- Revise os logs de auditoria em busca de uso incomum do Scripting Editor e de atividade inesperada no nível do banco de dados.
- Monitore alterações em atribuições de papéis e autorizações nos sistemas SAP.
Limitações das informações disponíveis
- O registro não traz dados de versões corrigidas, portanto a ausência de correção listada não significa que ela não exista.
- Detalhes técnicos do módulo de função vulnerável não são fornecidos, e esta análise não os inclui.
- A probabilidade de exploração é baixa nos dados do EPSS, mas isso não substitui a avaliação de risco do fornecedor.
Perguntas frequentes
A CVE-2026-0488 está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Quais produtos SAP são afetados?
O registro lista o SAP CRM e o SAP S/4HANA com o Scripting Editor, além do SAP NetWeaver Application Server ABAP e do SAP Webclient UI Framework na lista de produtos afetados.
O que os administradores devem fazer primeiro?
Analise a SAP Note 3697099 e as informações do SAP Security Patch Day, aplique a correção em cada release afetada e limite as autorizações do Scripting Editor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.