SAP corrige fallos críticos: NetWeaver, S/4HANA y Cloud SDK
SAP ha publicado 22 notas de seguridad nuevas y actualizadas en su Security Patch Day de octubre de 2026, y cuatro de ellas abordan vulnerabilidades calificadas como críticas. Las correcciones afectan al Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA y Manufacturing Integration and Intelligence.
El fabricante alemán de software empresarial publicó las notas el martes. No ha indicado que ninguno de los fallos se esté explotando de forma activa.
Un fallo de máxima gravedad en el Cloud SDK for Python
El problema más grave es CVE-2026-89111, con una puntuación CVSS de 10/10. Se trata de una falsificación de peticiones del lado del servidor (SSRF) en la gestión de OAuth2 del Cloud SDK for Python de SAP. Afecta a las aplicaciones multiinquilino que se ejecutan en BTP, la Business Technology Platform de SAP.
SAP describió el problema en un aviso publicado en GitHub: "Un atacante que controle el parámetro tenant_subdomain puede redirigir las solicitudes de tokens OAuth2 a un servidor bajo su control, lo que provoca la exfiltración de las credenciales del cliente".
Así, un atacante que manipule ese único parámetro puede enviar las solicitudes de tokens a una infraestructura que controla y hacerse con las credenciales de cliente que la aplicación utiliza para autenticarse.
Visual Composer y S/4HANA
El segundo fallo crítico, CVE-2026-89110 (puntuación CVSS de 9,9/10), es un problema de control de acceso defectuoso en la funcionalidad de portal de NetWeaver Visual Composer. NetWeaver es la plataforma tecnológica sobre la que se apoyan muchas aplicaciones de negocio de SAP.
La empresa de seguridad de aplicaciones empresariales Onapsis explicó que el fallo podría permitir a "un atacante con pocos privilegios invocar operaciones internas en un sistema remoto preconfigurado". Su explotación podría llevar al compromiso total de ese sistema remoto.
CVE-2026-89107, también con una puntuación de 9,9/10, es un fallo de inyección de código en S/4HANA, la suite ERP de SAP. Los atacantes autenticados podrían aprovecharlo para ejecutar código ABAP arbitrario, el lenguaje de programación que se utiliza en todo el software de negocio de SAP.
Según Onapsis, el origen del problema está en el proceso de definición de reglas, que no valida correctamente los datos de entrada. Un atacante que tenga asignado un rol de negocio concreto en las Fiori Applications, la interfaz de usuario web de SAP, puede enviar datos manipulados y, potencialmente, tomar el control del sistema vulnerable.
Creación de cuentas de administrador en MII
La cuarta vulnerabilidad crítica es CVE-2026-89108 (puntuación CVSS de 9,1/10), una falta de comprobación de autorización en Manufacturing Integration and Intelligence (MII).
Un atacante que ya disponga de privilegios de XMII Admin podría utilizarla para crear una cuenta de administrador en el servidor de aplicaciones Java subyacente. A partir de ahí, el atacante podría comprometer el sistema por completo.
Correcciones de gravedad alta
El paquete de octubre también incluye correcciones para fallos de gravedad alta en Commerce Cloud, NetWeaver y ABAP Platform. Según el fallo, los atacantes podrían inyectar comandos SQL arbitrarios, bloquear un proceso o eludir restricciones.
SAP recomienda a sus clientes aplicar las actualizaciones lo antes posible.
Por qué es importante
Los sistemas SAP suelen albergar los datos y procesos de los que más dependen las empresas: finanzas, cadenas de suministro, fabricación y registros de clientes. Muchos de estos fallos requieren algún nivel de autenticación o un rol concreto. Eso no debe interpretarse como un riesgo bajo. Las cuentas con pocos privilegios y los roles de negocio están repartidos por toda la estructura de las grandes organizaciones y pueden ser objeto de phishing, reutilizarse o ser aprovechados por personal interno. En este caso, pueden bastar para tomar el control de un sistema.
El fallo del Cloud SDK destaca porque apunta a las credenciales y no a la ejecución de código. En entornos cloud multiinquilino, unas credenciales de cliente robadas podrían dar a un atacante un punto de apoyo más difícil de detectar que un servidor caído. Los equipos que gestionan aplicaciones en BTP desarrolladas con el SDK de Python deberían comprobar qué versión utilizan y si los datos de inquilino llegan a las solicitudes de tokens.
La publicación llega en una semana cargada de parches. Se suma al Patch Tuesday de octubre de Microsoft y a una amplia tanda de avisos ICS de Siemens y Rockwell. Eso plantea el problema de siempre: priorizar. Las plataformas de aplicaciones de negocio suelen parchearse más despacio que los equipos de usuario por las pruebas necesarias y la preocupación por la disponibilidad. El precio de una actualización pendiente quedó claro hace poco, cuando se atribuyó una brecha de gran envergadura a un parche de PeopleSoft sin aplicar.
Por ahora no hay constancia de que se estén explotando. Conviene estar atentos a si aparecen análisis técnicos o pruebas de concepto en las próximas semanas, ya que eso suele acortar el margen del que disponen los defensores para parchear.