Boletín mensual de seguridad de SAP de octubre de 2026

Fecha de publicación 14/10/2026

Identificador

INCIBE-2026-739

Importancia

5 - Crítica

Recursos Afectados

El boletín incluye vulnerabilidades en las siguientes versiones y productos:

SAP Cloud SDK for Python, versiones anteriores a 0.45.2.
SAP NetWeaver Visual Composer, VC70RUNTIME 7.50.
SAP S/4HANA, S4CORE 105, 106, 107, 108 y 109.
SAP Manufacturing Integration and Intelligence, XMII 15.4 y 15.5.
SAP Commerce Cloud, COM_CLOUD 2211-JDK21.
SAP NetWeaver, SAP Web Dispatcher, SAP Kernel, SAP Content Server y componentes de SAP HANA afectados enumerados en el boletín.
SAP ABAP Platform, KERNEL 7.93 y 9.16.
CLA Assistant, versiones 2.13.1 y anteriores.
SAP NetWeaver Application Server for ABAP, versiones SAP_BASIS afectadas.
SAP NetWeaver ABAP Platform, versiones S4CRM, S4CEXT y BBPCRM afectadas.
SAP NetWeaver Enterprise Portal, EP-ADMIN 7.50 y EP-RUNTIME 7.50.
SAPUI5, versiones SAP_UI y UI_700 afectadas.
Yeoman-UI, versiones 1.25.1 y anteriores.
SAP Global Trade Services, GTSCORE 200 y 300.
SAP Cloud Security Services Integration Library, versiones iguales o posteriores a la 3.6.6 y anteriores a la 4.1.1.
SAP Cloud Connector, SAP_CLOUD_CONNECTOR 2.0.

Descripción

SAP ha publicado 22 vulnerabilidades: 4 de severidad crítica, 3 de severidad alta, 14 de severidad media y una de severidad baja que, en caso de ser explotadas, podrían permitir la exfiltración de credenciales, la ejecución de código, el acceso a operaciones restringidas, la creación de cuentas con privilegios de administrador, inyecciones SQL, denegaciones de servicio, divulgación de información y Cross-Site Scripting (XSS).

Solución

SAP recomienda acceder al portal de soporte y aplicar prioritariamente las notas de seguridad y actualizaciones correspondientes a cada producto.

Para las vulnerabilidades críticas se recomienda:

Actualizar SAP Cloud SDK for Python a la versión 0.45.2 o posterior.
Aplicar la nota de seguridad 3797111 en SAP NetWeaver Visual Composer. Como medida temporal, puede habilitarse la lista de servicios de datos permitidos indicada por SAP.
Aplicar la nota de seguridad 3805589 en SAP S/4HANA. Como medida temporal, puede desactivarse el servicio OData afectado, aunque esto impedirá añadir, modificar o eliminar reglas de sustitución o validación desde las aplicaciones Fiori relacionadas.
Aplicar la nota de seguridad 3798788 en SAP Manufacturing Integration and Intelligence.

Detalle

CVE-2026-89111: vulnerabilidad Server-Side Request Forgery (SSRF) en el mecanismo OAuth2 de SAP Cloud SDK for Python. Un atacante que controle el parámetro tenant_subdomain podría redirigir las solicitudes de obtención de tokens a un servidor bajo su control y obtener las credenciales del cliente OAuth2.
CVE-2026-89110: vulnerabilidad de control de acceso inadecuado en SAP NetWeaver Visual Composer. Un atacante con pocos privilegios podría ejecutar operaciones internas sobre un sistema remoto previamente configurado. Dependiendo de la configuración de la conexión, su explotación podría comprometer completamente dicho sistema.
CVE-2026-89107: vulnerabilidad de inyección de código en la gestión de reglas de sustitución y validación de SAP S/4HANA. Un usuario autenticado con determinados privilegios podría introducir contenido especialmente manipulado que sería interpretado como código ABAP ejecutable, llegando a comprometer completamente el sistema.
CVE-2026-89108: vulnerabilidad causada por la ausencia de una comprobación de autorización en el servicio de configuración de SAP Manufacturing Integration and Intelligence. Un usuario autenticado como administrador de SAP XMII y con acceso de red a determinados puntos de conexión podría crear una cuenta administrativa en el servidor de aplicaciones Java subyacente y comprometer el sistema.

CVE