Atualizações de abril corrigem falhas críticas em SAP, Adobe, Microsoft e Fortinet

O pacote inclui injeção de SQL em SAP BW/BPC, execução remota de código no Adobe Acrobat Reader sob exploração ativa, falhas críticas no ColdFusion e dois problemas severos no FortiSandbox.

Componente	SAP Business Planning and Consolidation, SAP Business Warehouse, Adobe Acrobat Reader, Adobe ColdFusion 2025 e 2023, FortiSandbox e Microsoft SharePoint Server.
Vetor	Upload em programa ABAP vulnerável no SAP, documentos ou conteúdo processado pelo Adobe Acrobat Reader, requisições HTTP especialmente criadas contra FortiSandbox e exploração de falha de spoofing no SharePoint Server.
Impacto	Execução de comandos SQL arbitrários, execução de código, leitura arbitrária de arquivos, negação de serviço de aplicação, bypass de recurso de segurança, bypass de autenticação e visualização de informação sensível, conforme o produto afetado.
Prioridade	Aplicar as atualizações dos fornecedores, priorizando ativos SAP BW/BPC expostos a usuários de baixo privilégio, leitores Acrobat Reader em estáções de trabalho, servidores ColdFusion, FortiSandbox e instâncias SharePoint Server.
Versões	FortiSandbox corrige CVE-2026-39813 nas versões 4.4.9 e 5.0.6; CVE-2026-39808 foi corrigida na versão 4.4.9. O ColdFusion afetado inclui os ramos 2025 e 2023.
Exploração	CVE-2026-34621 no Adobe Acrobat Reader e CVE-2026-32201 no Microsoft SharePoint Server foram descritas como exploradas ativamente, sem detalhes públicos sobre alvos, volume de vítimas, operador ou motivação.

Resumo técnico

As atualizações de segurança de abril concentraram correções críticas em produtos usados em planejamento financeiro, análise corporativa, leitura de documentos, aplicações web, sandboxing e colaboração interna. O conjunto mais sensível envolve CVE-2026-27681, uma injeção de SQL no SAP Business Planning and Consolidation e no SAP Business Warehouse com pontuação CVSS 9.9. A falha está ligada a um programa ABAP vulnerável que permite a um usuário de baixo privilégio enviar um arquivo contendo instruções SQL arbitrárias. Quando esse fluxo é abusado, as instruções podem ser executadas contra os repositórios de dados associados a BW/BPC, afetando diretamente ambientes nos quais planejamento, consolidação e relatórios dependem da integridade desses dados.

O ciclo também inclui CVE-2026-34621, uma vulnerabilidade crítica de execução remota de código no Adobe Acrobat Reader, com pontuação CVSS 8.6, já observada sob exploração ativa. O material disponível não informa a quantidade de usuários impactados, o perfil dos alvos, o operador responsável ou a motivação da campanha. Essa ausência de detalhes limita a atribuição, mas não reduz a prioridade operacional: leitores de PDF são superfície comum em estáções de trabalho, e exploração em campo exige verificação rápida de versões, telemetria de endpoint e aplicação da correção. O mesmo ciclo traz cinco falhas críticas no Adobe ColdFusion 2025 e 2023, com impactos que incluem execução de código arbitrário, negação de serviço de aplicação, leitura arbitrária do sistema de arquivos e bypass de recurso de segurança.

A Fortinet corrigiu duas vulnerabilidades críticas no FortiSandbox. CVE-2026-39813, com CVSS 9.1, é uma falha de path traversal na API JRPC que pode permitir bypass de autenticação por requisições HTTP especialmente criadas, com correção nas versões 4.4.9 e 5.0.6. CVE-2026-39808, também com CVSS 9.1, é uma injeção de comandos do sistema operacional que pode permitir a um atacante não autenticado executar código ou comandos não autorizados por meio de requisições HTTP criadas para acionar a falha, corrigida na versão 4.4.9. A Microsoft, por sua vez, corrigiu 169 defeitos de segurança, incluindo CVE-2026-32201, uma falha de spoofing no Microsoft SharePoint Server, CVSS 6.5, associada à possibilidade de visualização de informação sensível e descrita como explorada ativamente.

Fluxo técnico

No caso do SAP, o ponto crítico é a combinação de privilégio baixo com uma função de upload capaz de alimentar instruções SQL para execução posterior. A precondição descrita é a existência de um usuário autenticado com baixo privilégio que consiga alcançar o programa ABAP vulnerável e submeter um arquivo manipulado. O impacto não se limita a erro de validação abstrato: a execução de comandos SQL arbitrários contra estruturas de BW/BPC pode afetar dados usados em planejamento, consolidação e relatórios executivos. Em um ambiente financeiro, alterações não autorizadas podem modificar números de planejamento, quebrar relatórios e apagar ou corromper dados de consolidação. Quando o atacante direciona consultas para leitura, a mesma falha sustenta risco de acesso a informação sensível armazenada nesses repositórios.

A exploração do Adobe Acrobat Reader tem outro perfil de risco. A vulnerabilidade CVE-2026-34621 é descrita como execução remota de código e está em exploração ativa, mas o contexto não traz o formato exato do gatilho, o tipo de documento, o vetor de entrega ou os artefatos usados na campanha. A análise defensiva deve, portanto, tratar o risco como exposição de endpoint até que a atualização seja aplicada e a telemetria seja revisada. Como não há indicação pública de ator, alvo ou motivação, qualquer conclusão sobre campanha direcionada, exploração massiva ou objetivo final seria especulativa. O dado confirmado é suficiente para priorizar estáções com Acrobat Reader, principalmente quando a organização processa documentos externos em fluxos de atendimento, jurídico, financeiro ou suporte.

As falhas no Adobe ColdFusion 2025 e 2023 ampliam a superfície em servidores de aplicação. O conjunto inclui path traversal associado a bypass de recurso de segurança, validação imprópria de entrada levando a execução de código arbitrário, path traversal levando a leitura arbitrária de arquivos, validação imprópria de entrada levando a bypass de recurso de segurança e outra validação imprópria de entrada ligada a execução de código arbitrário. Os CVEs listados para esse bloco incluem CVE-2026-34619, CVE-2026-27304, CVE-2026-27305, CVE-2026-27282 e CVE-2026-27306, com pontuações entre 7.5 e 9.3. Em servidores ColdFusion, leitura de arquivos e execução de código têm impacto direto sobre confidencialidade e controle da aplicação, enquanto negação de serviço pode afetar disponibilidade de sistemas dependentes.

No FortiSandbox, a severidade vem da possibilidade de interação não autenticada por HTTP. CVE-2026-39813 atinge a API JRPC por path traversal e pode levar a bypass de autenticação quando requisições especialmente criadas alcançam o componente vulnerável. CVE-2026-39808 permite injeção de comandos do sistema operacional, também a partir de requisições HTTP criadas para explorar a falha. O dado disponível não confirma exploração ativa dessas duas vulnerabilidades, mas o vetor remoto e não autenticado aumenta a prioridade de correção em appliances expostos a redes internas amplas ou segmentos de análise automatizada. No SharePoint Server, CVE-2026-32201 é uma falha de spoofing com exploração ativa e impacto de visualização de informação sensível. A descrição não confirma execução de código nem movimentação lateral; a avaliação deve permanecer restrita ao acesso indevido a informação e aos riscos derivados de conteúdo em repositórios internos.

Superfície afetada

A superfície SAP envolve ambientes nos quais SAP Business Planning and Consolidation e SAP Business Warehouse são usados para consolidar dados corporativos, preparar fechamento, gerar relatórios e apoiar planejamento operacional. A falha CVE-2026-27681 é especialmente sensível porque o usuário necessário para acionar o problema é de baixo privilégio, não necessariamente um administrador. Isso desloca a análise de risco para contas funcionais, perfis internos, acessos delegados e qualquer fluxo no qual o recurso de upload relacionado ao programa ABAP esteja disponível. A exposição real depende de quem consegue alcançar a funcionalidade vulnerável e de como os dados de BW/BPC são segmentados, auditados e restaurados.

A superfície Adobe é dividida entre endpoints e servidores. O Acrobat Reader aparece como componente de estáção de trabalho sob exploração ativa, o que exige inventário de versões em desktops, notebooks e ambientes virtuais. O ColdFusion 2025 e 2023, por sua vez, representa superfície de servidor de aplicação, potencialmente ligada a aplicações internas, portais e serviços web. Como os impactos listados abrangem execução de código, leitura de arquivos, negação de serviço e bypass de recurso de segurança, a priorização deve considerar servidores expostos, aplicações críticas, permissões do processo da aplicação e presença de arquivos sensíveis acessíveis pelo contexto do serviço.

FortiSandbox deve ser tratado como ativo de segurança com impacto elevado caso comprometido, porque recebe e analisa artefatos potencialmente maliciosos e pode ter conectividade com outros componentes de defesa. As falhas confirmadas envolvem FortiSandbox nas versões anteriores às correções indicadas para CVE-2026-39813 e CVE-2026-39808. O SharePoint Server, por sua vez, aparece no pacote da Microsoft como alvo de uma falha de spoofing explorada ativamente. Repositórios SharePoint costumam armazenar documentos internos, relatórios, materiais de projeto e informação operacional; o impacto confirmado é visualização de informação sensível, não uma cadeia completa de intrusão.

• SAP BW/BPC com acesso ao programa ABAP vulnerável e funcionalidade de upload acessível a usuários de baixo privilégio.
• Adobe Acrobat Reader em estáções que abrem documentos recebidos de fontes externas ou não totalmente confiáveis.
• Adobe ColdFusion 2025 e 2023 em servidores que sustentam aplicações internas ou expostas.
• FortiSandbox antes das versões 4.4.9 e 5.0.6 para CVE-2026-39813, e antes da versão 4.4.9 para CVE-2026-39808.
• Microsoft SharePoint Server com CVE-2026-32201 ainda sem correção aplicada.

Hunting e telemetria

Para SAP BW/BPC, a investigação deve começar pela trilha de uso da funcionalidade de upload relacionada ao programa ABAP vulnerável. A telemetria útil inclui eventos de upload por usuários de baixo privilégio, arquivos submetidos em horários incomuns, erros de banco de dados após uploads e alterações inesperadas em objetos de planejamento, consolidação ou relatórios. Como o impacto confirmado inclui execução de comandos SQL arbitrários, também faz sentido comparar mudanças em tabelas, consultas incomuns, operações de exclusão, alterações em dados de fechamento e anomalias de relatórios que tenham surgido após uso da função vulnerável.

Em endpoints com Acrobat Reader, a ausência de indicadores públicos específicos exige uma abordagem por comportamento e janela temporal. A defesa deve correlacionar abertura de documentos com criação anômala de processos filhos, falhas do leitor, alertas de exploração de memória, conexões iniciadas logo após a abertura de arquivos e execução de binários inesperados no perfil do usuário. Como a exploração ativa de CVE-2026-34621 foi confirmada sem detalhamento de campanha, o hunting não deve assumir um domínio, hash, ator ou família de malware inexistente no material recebido. O foco defensivo é identificar comportamento de pós-exploração associado ao processo do leitor de PDF e validar se os endpoints já receberam a atualização.

Para ColdFusion, os sinais devem ser procurados em logs de aplicação e de servidor web, com atenção a requisições que resultem em leitura de arquivos, bypass de controles, erros de validação e exceções incomuns. Como os impactos incluem execução de código e negação de serviço, eventos de queda da aplicação, reinicializações, aumento abrupto de erros e criação de arquivos não esperados no contexto da aplicação são sinais úteis. No FortiSandbox, a caça deve observar requisições HTTP incomuns contra a API JRPC, tentativas de path traversal, erros de autenticação seguidos de acesso bem-sucedido e qualquer execução de comandos ou comportamento fora do padrão do appliance. Para SharePoint Server, a análise deve priorizar acessos a documentos sensíveis, eventos associados à falha de spoofing, padrões anômalos de leitura e contas com volume de acesso incompatível com seu perfil.

• Uploads incomuns no SAP BW/BPC por usuários de baixo privilégio e alterações anômalas em dados de planejamento ou consolidação.
• Processos filhos, falhas e conexões de rede originados pelo Adobe Acrobat Reader após abertura de documentos.
• Requisições anômalas, erros de validação e eventos de leitura de arquivos em servidores ColdFusion 2025 e 2023.
• Acesso HTTP incomum à API JRPC do FortiSandbox, principalmente padrões compatíveis com path traversal ou bypass de autenticação.
• Leitura incomum de documentos e acesso a informação sensível em Microsoft SharePoint Server afetado por CVE-2026-32201.

Mitigação

A primeira ação defensiva é aplicar as correções dos fornecedores, com ordem definida por exploração ativa, privilégio necessário e criticidade do ativo. CVE-2026-34621 no Adobe Acrobat Reader e CVE-2026-32201 no Microsoft SharePoint Server devem receber prioridade porque há exploração ativa relatada. Em paralelo, CVE-2026-27681 no SAP BW/BPC exige tratamento urgente pela combinação de CVSS 9.9, usuário de baixo privilégio e execução de SQL arbitrário contra dados corporativos sensíveis. Em FortiSandbox, a atualização deve levar CVE-2026-39813 às versões 4.4.9 ou 5.0.6 e CVE-2026-39808 à versão 4.4.9, conforme o ramo utilizado.

A mitigação não termina na instalação do patch. Em SAP, é necessário revisar quem possui acesso à funcionalidade de upload, validar se houve alterações indevidas em dados de BW/BPC e conferir integridade de relatórios, números de planejamento e dados de consolidação. Em Acrobat Reader, a resposta deve confirmar cobertura de atualização em todos os endpoints e revisar alertas associados a documentos processados antes da correção. Em ColdFusion, a equipe deve inventariar servidores nos ramos 2025 e 2023, aplicar os patches correspondentes e verificar se houve leitura de arquivos, erros de aplicação ou comportamento compatível com execução de código antes da atualização.

Para FortiSandbox, além da atualização, a revisão deve confirmar exposição da interface HTTP afetada, restrições de acesso administrativo e registros de requisições anômalas. Como as falhas descritas permitem bypass de autenticação e execução de comandos sem autenticação, a análise de integridade do appliance e dos logs é essencial antes de considerar o ambiente normalizado. No SharePoint Server, a resposta deve combinar correção, revisão de permissões, auditoria de acesso a documentos sensíveis e investigação de leituras fora do padrão. Como o impacto confirmado é visualização de informação sensível, a contenção deve se concentrar em reduzir exposição documental, validar acessos e preservar logs suficientes para reconstruir a atividade.

• Priorizar correção de CVE-2026-34621 e CVE-2026-32201 devido à exploração ativa relatada.
• Corrigir CVE-2026-27681 em SAP BW/BPC e revisar uploads, consultas e alterações em dados de planejamento e consolidação.
• Atualizar FortiSandbox para as versões corrigidas indicadas: 4.4.9 ou 5.0.6 para CVE-2026-39813 e 4.4.9 para CVE-2026-39808.
• Aplicar atualizações do Adobe ColdFusion 2025 e 2023 e revisar logs de aplicação, erros de validação, leitura de arquivos e quedas do serviço.
• Auditar SharePoint Server após a correção, com foco em documentos sensíveis acessados de forma incomum e permissões excessivas.