CVE-2026-27681: Injeção de SQL no SAP BPC e SAP BW por Falha de Autorização

Visão geral

A CVE-2026-27681 é descrita pela SAP como decorrente de verificações de autorização insuficientes no SAP Business Planning and Consolidation (BPC) e no SAP Business Warehouse (BW). O registro associa a fraqueza ao CWE-89 (Injeção de SQL). O registro foi publicado em 2026-04-14 e, nos dados consultados, seu status é Awaiting Analysis.

Impacto

A descrição do CNA indica alto impacto na confidencialidade, integridade e disponibilidade. Segundo a descrição, um usuário autenticado poderia ler, modificar e excluir dados do banco de dados.

Confidencialidade: classificada como alta na descrição do CNA.
Integridade: classificada como alta na descrição do CNA.
Disponibilidade: classificada como alta na descrição do CNA.
O vetor CVSS:3.1 listado é CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, com pontuação base de 9.9. Pelas definições padrão do CVSS, isso indica um problema acessível pela rede, que exige privilégios baixos, sem interação do usuário e com mudança de escopo (inferência a partir do vetor).

Produtos e versões afetados

Os produtos citados no registro são SAP Business Planning and Consolidation e SAP Business Warehouse. O registro consultado não contém lista de versões afetadas ou corrigidas, portanto as versões exatas afetadas são desconhecidas. Consulte a SAP Note 3719353 e a página do SAP Security Patch Day para verificar a aplicabilidade ao seu ambiente.

Status de exploração

Essa CVE não consta no catálogo KEV da CISA nos dados consultados. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro EPSS mostra probabilidade de 0.00549 e percentil de 0.44444, que são estimativas e não evidência de exploração.

Correção e mitigação

Verifique a SAP Note 3719353 e a página do SAP Security Patch Day para as medidas corretivas e as versões de componentes aplicáveis.
Priorize a aplicação de correções nos sistemas BPC e BW, dada a classificação crítica e a pré-condição de usuário autenticado.
Limite o número de contas com acesso ao BPC e ao BW às que têm necessidade de negócio clara.
Revise as funções de autorização e restrinja os privilégios em nível de banco de dados concedidos a contas de aplicação e de serviço.

Orientações de detecção

Revise os logs de auditoria do banco de dados e da aplicação em busca de padrões de consulta incomuns ou de modificações e exclusões inesperadas de dados originadas no BPC ou no BW.
Monitore a atividade de autenticação em contas com padrões de acesso incompatíveis com seus papéis atribuídos.
Correlacione alterações em dados críticos de planejamento ou de armazém com a atividade dos usuários para apoiar investigações.

Limitações das informações disponíveis

O registro consultado não lista versões afetadas ou corrigidas, por isso a aplicabilidade não pode ser determinada apenas por ele.
Não há detalhes técnicos além da classificação CWE e da descrição do CNA.
A data do EPSS (2026-10-13) é posterior à data de publicação (2026-04-14); trate esse valor com cautela.
Não há dados de uso em ransomware ou de KEV, pois a entrada não consta no KEV.
Detalhes de exploração não são fornecidos aqui por opção.

Perguntas frequentes

O que é a CVE-2026-27681?

É uma fraqueza de injeção de SQL (CWE-89) no SAP Business Planning and Consolidation e no SAP Business Warehouse, causada por verificações de autorização insuficientes que permitem a um usuário autenticado executar instruções SQL elaboradas.

Qual é a gravidade?

O registro indica severidade crítica, com pontuação base CVSS v3.1 de 9.9, fornecida pelo CNA SAP.

Há exploração ativa conhecida?

Ela não consta no catálogo KEV da CISA nos dados consultados, e nenhuma exploração confirmada aparece nas fontes consultadas.

Quais versões são afetadas?

O registro consultado não lista versões afetadas ou corrigidas. Consulte a SAP Note 3719353 e a página do SAP Security Patch Day para detalhes.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.