CVE-2026-34260: Injeção de SQL (CWE-89) no SAP S/4HANA em Enterprise Search for ABAP
A SAP divulgou a CVE-2026-34260, uma falha crítica de injeção de SQL no SAP S/4HANA (SAP Enterprise Search for ABAP) que um usuário autenticado pode acionar por meio de entradas controladas pelo usuário. A pontuação atribuída pelo CNA é 9.6 no CVSS 3.1, com alto impacto na confidencialidade e na disponibilidade e sem impacto na integridade. O registro não lista versões afetadas nem corrigidas, por isso os administradores devem consultar as referências da SAP para confirmar a aplicabilidade e o status de correção.
Visão geral
O SAP S/4HANA, por meio do componente SAP Enterprise Search for ABAP, é afetado por uma falha de injeção de SQL classificada como CWE-89. Segundo o registro, a entrada controlada pelo usuário é concatenada diretamente em consultas SQL sem validação ou sanitização adequadas, e a exigência de autenticação é de baixo privilégio.
Impacto
- Confidencialidade: alta, segundo a pontuação do CNA. Um invasor pode obter acesso não autorizado a informações sensíveis do banco de dados.
- Integridade: não afetada, segundo a pontuação do CNA.
- Disponibilidade: alta. A descrição indica que a aplicação pode potencialmente travar.
- A pontuação do CNA é 9.6 no CVSS 3.1, com classificação de severidade crítica. O vetor registra escopo alterado.
Produtos e versões afetados
O registro não lista nenhuma versão afetada ou corrigida. Verifique a aplicabilidade nas referências do fornecedor abaixo:
Status de exploração
A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA nos dados consultados, e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00431, com percentil de 0.3562. Esses valores são estimativas e não confirmam exploração.
Correção e mitigação
- Revise as notas de segurança da SAP referenciadas pelo fornecedor e aplique as correções relevantes para a sua versão do S/4HANA e para os componentes do SAP Enterprise Search for ABAP.
- Restrinja o acesso de contas autenticadas à funcionalidade afetada apenas a usuários que a necessitem.
- Aplique o princípio do menor privilégio às contas de banco de dados usadas pela aplicação, para limitar o alcance de uma injeção bem-sucedida.
- Acompanhe as atualizações do fornecedor no canal do SAP Security Patch Day até confirmar a aplicabilidade ao seu ambiente.
Orientações de detecção
- Revise os logs da aplicação e do banco de dados em busca de erros inesperados, falhas incomuns de consulta ou travamentos repetidos ligados à funcionalidade de busca.
- Monitore sessões autenticadas quanto a atividade de busca atípica ou padrões de entrada diferentes do uso normal.
- Correlacione reinicializações da aplicação ou instabilidade do serviço com a atividade de usuários para identificar possível abuso.
Limitações das informações disponíveis
O registro não contém versões afetadas, versões corrigidas, detalhes técnicos fornecidos pelo fornecedor além da descrição, nem dados de exploração específicos do produto. As referências da SAP foram listadas, mas seu conteúdo não estava disponível para esta análise, portanto o caminho exato de correção deve ser confirmado diretamente com a SAP.
Perguntas frequentes
Que tipo de vulnerabilidade é a CVE-2026-34260?
É uma falha de injeção de SQL classificada como CWE-89, na qual a entrada controlada pelo usuário é concatenada em consultas SQL sem validação adequada.
A CVE-2026-34260 é conhecida por ser explorada ativamente?
Ela não consta no catálogo KEV da CISA nos dados consultados, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
O registro não lista versões afetadas ou corrigidas. Consulte o SAP Security Patch Day e a SAP Note 3724838 para confirmar a aplicabilidade.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.