SAP publicó 22 notas de seguridad nuevas y actualizadas para su Security Patch Day de octubre de 2026, que incluyen cuatro vulnerabilidades críticas que afectan a SAP Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA y Manufacturing Integration and Intelligence.
El anuncio se hizo un martes, según el informe de SecurityWeek. SAP recomienda a los clientes instalar las actualizaciones cuanto antes.
Los registros de vulnerabilidades disponibles identifican los componentes afectados, pero no ofrecen rangos de versiones afectadas ni corregidas. Por tanto, los administradores deben usar las notas de seguridad de SAP aplicables para determinar la exposición de cada versión desplegada, en lugar de tratar como segura una versión que no aparece en la lista.
Las solicitudes OAuth2 pueden filtrar credenciales de cliente
La más grave, CVE-2026-89111, es una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en SAP Cloud SDK for Python que afecta a aplicaciones BTP multiinquilino.
Un atacante capaz de controlar el parámetro tenant_subdomain puede redirigir las solicitudes de token OAuth2 a un servidor bajo su control. Esto puede exponer las credenciales de cliente utilizadas en esas solicitudes.
El fallo está clasificado como CWE-918 y tiene una puntuación CVSS 3.1 de 10,0, con el siguiente vector:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
La explotación requiere acceso de red, pero no una cuenta ni la interacción del usuario. El vector califica la complejidad del ataque como baja e indica un impacto potencial alto en la confidencialidad y la integridad, sin impacto directo en la disponibilidad.
Un fallo de NetWeaver alcanza sistemas remotos preconfigurados
CVE-2026-89110 afecta a la funcionalidad de portal en SAP NetWeaver Visual Composer. Las comprobaciones de autorización insuficientes permiten a un atacante con privilegios bajos invocar operaciones internas en un sistema remoto preconfigurado.
El impacto final dependerá de la configuración de la conexión remota. En configuraciones que exponen operaciones suficientemente potentes, la explotación podría llevar a un compromiso total del sistema conectado, con afectación de la confidencialidad, la integridad y la disponibilidad.
La vulnerabilidad está clasificada como CWE-749 y tiene una puntuación CVSS 3.1 de 9,9:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Puede explotarse de forma remota, con complejidad baja y requiere privilegios bajos, pero no requiere acciones de otro usuario.
Reglas de S/4HANA manipuladas pueden convertirse en código ABAP ejecutable
La vulnerabilidad de S/4HANA, CVE-2026-89107, es un fallo de validación de entradas en Manage Substitution/Validation Rules.
La funcionalidad afectada para definir reglas procesa un lenguaje de script específico de dominio. Un atacante autenticado con los privilegios de negocio necesarios puede enviar una entrada diseñada a medida que la lógica de procesamiento de reglas interpreta como código ABAP ejecutable. La explotación con éxito puede dar lugar a la ejecución arbitraria de ABAP y al compromiso total del sistema afectado.
CVE-2026-89107 está clasificada como CWE-94 y tiene una puntuación CVSS 3.1 de 9,9:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
El ataque requiere acceso a la red, privilegios bajos correspondientes al rol de negocio pertinente y ninguna interacción del usuario.
Los administradores de MII pueden escalar hasta el servidor de aplicaciones Java
CVE-2026-89108 se refiere a la falta de aplicación de autorización en la funcionalidad administrativa de SAP Manufacturing Integration and Intelligence.
Un atacante que ya tiene privilegios de administrador de MII puede enviar una solicitud manipulada que aprovisiona una cuenta con derechos elevados en el servidor de aplicaciones Java subyacente. Esto supera el límite de autorización de la aplicación y puede darle control administrativo sobre el sistema subyacente.
El fallo está clasificado como CWE-862 y tiene una puntuación CVSS 3.1 de 9,1:
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
A diferencia de las otras vulnerabilidades críticas, la explotación requiere privilegios altos. Su clasificación como crítica refleja la posibilidad de extender el control más allá de MII y comprometer la confidencialidad, la integridad y la disponibilidad del servidor subyacente.
Otras correcciones y estado de explotación
SAP también corrigió debilidades de gravedad alta en Commerce Cloud, NetWeaver y ABAP Platform. Entre las consecuencias informadas de esas correcciones figuran inyección SQL, caídas de procesos y elusiones de restricciones. La información disponible no asocia identificadores CVE ni puntuaciones de gravedad individuales a esos problemas.
SecurityWeek informa de que el material de SAP no mencionaba explotación activa de las vulnerabilidades recién corregidas. Esto no confirma que no se haya producido explotación: las puntuaciones CVSS describen la gravedad técnica y las condiciones de ataque, no evidencia de ataques reales.
Los administradores deben priorizar las actualizaciones de SAP, identificar las aplicaciones BTP multiinquilino que usan SAP Cloud SDK for Python, revisar el acceso con privilegios bajos a NetWeaver Visual Composer y restringir los roles de negocio de S/4HANA y los privilegios administrativos de MII a los usuarios que los necesiten. También conviene revisar las configuraciones de sistemas remotos conectados a Visual Composer, porque determinan el alcance posible de CVE-2026-89110. Estos controles de acceso pueden reducir la exposición mientras avanza la aplicación de parches, pero no sustituyen las correcciones del proveedor.
