Boletín mensual de seguridad de SAP de octubre de 2026
INCIBE-CERT avisos · 14 oct, 11:08
SAP ha publicado su boletín de seguridad de octubre con 22 vulnerabilidades, cuatro de severidad crítica, que afectan a múltiples productos de su ecosistema: Cloud SDK for Python, NetWeaver, S/4HANA, Manufacturing Integration and Intelligence y otros. Las vulnerabilidades podrían permitir ejecución de código, exfiltración de credenciales, acceso no autorizado y otras consecuencias graves.
Las cuatro vulnerabilidades críticas incluyen un Server-Side Request Forgery (SSRF) en el mecanismo OAuth2 de SAP Cloud SDK for Python (CVE-2026-89111) que permitiría redirigir solicitudes de tokens a servidores controlados por el atacante y obtener credenciales OAuth2. CVE-2026-89110 es una deficiencia de control de acceso en SAP NetWeaver Visual Composer que un atacante con pocos privilegios podría explotar para ejecutar operaciones remotas. CVE-2026-89107 afecta a la gestión de reglas de sustitución y validación en SAP S/4HANA, permitiendo inyección de código ABAP ejecutable por usuarios autenticados. CVE-2026-89108 es la ausencia de comprobación de autorización en SAP Manufacturing Integration and Intelligence que permitiría crear cuentas administrativas en el servidor Java subyacente.
SAP recomienda aplicar prioritariamente las notas de seguridad correspondientes. Para el SSRF en Cloud SDK for Python debe actualizarse a versión 0.45.2 o posterior. Para NetWeaver Visual Composer se recomienda la nota 3797111 o habilitar la lista de servicios de datos permitidos. Para S/4HANA se aplica la nota 3805589 o desactivar temporalmente el servicio OData afectado. Para Manufacturing Integration and Intelligence se aplica la nota 3798788.
Puntos clave
- Actualizar SAP Cloud SDK for Python a 0.45.2 o posterior
- Aplicar nota de seguridad 3797111 en SAP NetWeaver Visual Composer
- Aplicar nota de seguridad 3805589 en SAP S/4HANA
- Aplicar nota de seguridad 3798788 en SAP Manufacturing Integration and Intelligence
- Cuatro vulnerabilidades críticas sin explotación activa reportada