Boletín de seguridad de SAP de noviembre de 2026

Fecha de publicación 11/11/2026

Identificador

INCIBE-2026-847

Importancia

5 - Crítica

Recursos Afectados

Las vulnerabilidades críticas afectan a los siguientes productos y componentes sin las correcciones correspondientes.

SAP NetWeaver AS ABAP (Internet Communication Manager, ICM) — KRNL64UC 7.53 y KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 y 9.20.
SAP Web Dispatcher, incluido el integrado en SAP HANA XS Classic y XS Advanced — WEBDISP 7.53, 7.54, 7.77, 7.93 y 9.16, HDB 2.00, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1 y las versiones de KRNL64UC y KERNEL indicadas para ICM.
SAP Gateway — KRNL64NUC 7.22 y 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53 y 8.04, y KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20 y 9.21.
SAP NetWeaver AS ABAP y ABAP Platform (proveedor de servicios SAML 2.0) — SAP_BASIS 702, 731, 740, 750 a 758, 816 y 920 a 922.
SAP NetWeaver Knowledge Management (XML Forms) — KMC-CM 7.50.
SAP NetWeaver y ABAP Platform (Application Server ABAP) — KRNL64NUC 7.22 y 7.22EXT, KRNL64UC 7.22, 7.22EXT y 7.53, y KERNEL 7.22, 7.53, 7.54, 7.77, 7.93 y 9.16.
S4CRM — S4CRM 204 a 206, S4CEXT 107 a 109 y BBPCRM 713 y 714.
SAP Web Dispatcher e ICM (nota 3804858) — WEBDISP 7.93 y 9.16, XS_ADVANCED_RUNTIME 1.00 y KERNEL 7.93, 9.16, 9.20 y 9.21.
SAP BusinessObjects Business Intelligence Platform (Web Intelligence) — ENTERPRISE 430, 2025 y 2027.

Para ICM2SHELL, comprobar también los núcleos afectados desde la versión 7.40 que estén fuera de mantenimiento y las instalaciones de doble pila que ejecuten ABAP. La exposición depende de la versión del núcleo y de su nivel de parche.

Descripción

SAP ha publicado 35 nuevas notas de seguridad, 4 avisos en GitHub y 3 revisiones de notas anteriores. El boletín incluye 9 vulnerabilidades de severidad crítica, 4 de ellas con una puntuación CVSS de 10,0.

Onapsis Research Labs ha identificado ICM2SHELL, dos vulnerabilidades en ICM y SAP Web Dispatcher que permiten ejecutar código arbitrario sin autenticación o provocar una denegación de servicio.

Solución

Aplicar las correcciones de las notas de seguridad de SAP para cada componente. Para ICM2SHELL, priorizar los ICM y Web Dispatcher accesibles desde Internet y actualizar cada instancia afectada, incluidos los Web Dispatcher autónomos y los integrados en SAP HANA XS.

Niveles de parche (PL) que corrigen ICM2SHELL:

Núcleo de SAP y Web Dispatcher — 7.53 PL 1616 o 1617 según la variante, 7.54 PL 710, 7.77 PL 914 y 9.16 PL 111.
Rama 7.93 — versión actualizada de Stack Kernel PL 401, PL 402 cuando SAP lo publique o PL 420 y posteriores. El PL 419 sigue afectado.
Núcleo de SAP 9.18 y 9.20 — 9.18 PL 37 y 9.20 PL 11 o 13 según la variante.
SAP HANA XS Classic — 2.00.079.11 o 2.00.089.05, según la rama.
SAP HANA XS Advanced — 1.0 SP05 Patch 4.

Seleccionar el parche corregido más reciente para cada rama y migrar los núcleos afectados fuera de mantenimiento a una versión compatible con soporte. Consultar las preguntas frecuentes de SAP sobre ICM2SHELL.

Medidas temporales para ICM2SHELL:

Si se aplaza la actualización, valorar el impacto sobre las integraciones y funciones interactivas antes de establecer icm/HTTP/support_websocket_upgrade=FALSE y reiniciar el componente.
Un Web Dispatcher actualizado a 7.53 PL 1629, 7.54 PL 723, 7.93 PL 430 o 9.16 PL 200, o a un nivel posterior de su rama, puede proteger los servidores a los que se acceda exclusivamente a través de él. La medida requiere que el Web Dispatcher opere fuera del modo PROT=ROUTER.

SAP Gateway (PROXYGATE):

Aplicar la nota SAP 3798345 en cada servidor de aplicaciones. Restringir los orígenes autorizados en prxyinfo y establecer gw/acl_mode_proxy=1 en las ramas para las que SAP indique este ajuste. Restringir el acceso de red al servicio a los equipos autorizados.

Detalle

ICM2SHELL agrupa dos fallos de corrupción de memoria en el procesamiento de mensajes WebSocket. Un atacante con acceso al puerto HTTP o HTTPS podría ejecutar comandos como el usuario del sistema operativo <sid>adm o interrumpir el servicio. La compatibilidad con WebSocket está habilitada de forma predeterminada.

CVE-2026-76964: afecta a Internet Communication Manager (ICM) de SAP NetWeaver AS ABAP. Nota SAP 3778530.
CVE-2026-89126: afecta a SAP Web Dispatcher, incluido el integrado en SAP HANA XS Classic y XS Advanced. Nota SAP 3778556.
CVE-2026-89103 (PROXYGATE): con una política de proxy permisiva, SAP Gateway puede tratar solicitudes externas como internas y permitir a un atacante sin autenticar ejecutar comandos del sistema operativo.
CVE-2026-120017: la verificación insuficiente de aserciones SAML en determinadas configuraciones permite eludir la autenticación y suplantar a usuarios, incluidos los privilegiados.
CVE-2026-109803: un usuario autenticado con acceso a XML Forms podría ejecutar código arbitrario mediante una transformación XSL no autorizada.
CVE-2026-76965: la ausencia de comprobaciones de autorización en Application Server ABAP permite a un usuario con pocos privilegios ejecutar comandos del sistema operativo.
CVE-2026-109795: la validación insuficiente de permisos y entradas en funciones remotas de S4CRM permite a un usuario con pocos privilegios inyectar y ejecutar código.
CVE-2026-89119: un atacante podría inducir a un administrador con sesión iniciada a abrir un enlace manipulado y ejecutar acciones con sus permisos en SAP Web Dispatcher o ICM.
CVE-2026-109798: el procesamiento de entidades XML externas en solicitudes OLAP de Web Intelligence permite a un atacante autenticado leer archivos restringidos o acceder a recursos internos.

CVE

Identificador CVE	Severidad	Explotación	Fabricante
CVE-2026-76964	Crítica	No	SAP
CVE-2026-89126	Crítica	No	SAP
CVE-2026-89103	Crítica	No	SAP
CVE-2026-120017	Crítica	No	SAP
CVE-2026-109803	Crítica	No	SAP
CVE-2026-76965	Crítica	No	SAP
CVE-2026-109795	Crítica	No	SAP
CVE-2026-89119	Crítica	No	SAP
CVE-2026-109798	Crítica	No	SAP