SAP Security Patch Day Octubre 2026: Parches Críticos para S/4HANA, SAP MII y SAP Visual Composer

Destacados del SAP Security Patch Day Octubre 2026:

• Resumen general — Veintiuna notas de seguridad SAP publicadas y actualizadas, incluyendo tres notas HotNews y cuatro de Alta Prioridad.
• S/4HANA en el foco — Vulnerabilidad crítica de Code Injection que puede comprometer completamente el sistema.
• Contribución de investigadores de seguridad — Investigadores externos colaboraron con SAP en el parcheo de diez vulnerabilidades cubiertas por ocho SAP Security Notes, incluyendo dos clasificadas como HotNews y una como Alta Prioridad.
• CVSS 9.9 — Dos de las tres notas HotNews alcanzan una puntuación CVSS de 9.9, el máximo nivel de criticidad.

Resumen del Patch Day de Octubre 2026

SAP ha publicado veintiuna notas de seguridad nuevas y actualizadas en su Patch Day de Octubre, incluyendo tres notas HotNews y cuatro notas de Alta Prioridad. Ocho de las diecisiete notas de seguridad nuevas fueron publicadas en colaboración con investigadores de seguridad externos.

Este mes destaca por la gravedad de las vulnerabilidades descubiertas, con dos de las tres HotNews alcanzando una puntuación CVSS de 9.9 sobre 10, lo que representa el nivel más alto de criticidad en la clasificación de SAP.

Notas HotNews en Detalle

1. Broken Access Control en SAP NetWeaver Visual Composer — CVSS 9.9

SAP Security Note #3797111, con una puntuación CVSS de 9.9, parchea una vulnerabilidad de Broken Access Control en SAP NetWeaver Visual Composer. Investigadores de seguridad detectaron que cierta funcionalidad del portal en Visual Composer permite a un atacante con pocos privilegios invocar operaciones internas en un sistema remoto preconfigurado.

Existe una configuración de seguridad que permite definir una lista blanca (allowlist) de servicios de datos permitidos; sin embargo, esta configuración no está habilitada por defecto. El parche cambia la configuración predeterminada activando los ajustes seguros. La nota proporciona documentación FAQ adicional y explica cómo habilitar la configuración segura manualmente, antes de aplicar el parche permanente. Una explotación exitosa de esta vulnerabilidad podría llevar al compromiso total del sistema remoto.

2. Code Injection en SAP S/4HANA — CVSS 9.9

SAP Security Note #3805589, con una puntuación CVSS de 9.9, aborda una vulnerabilidad crítica de Code Injection en SAP S/4HANA (Manage Substitution/Validation Rules) que permite a atacantes autenticados ejecutar código ABAP arbitrario en el sistema. Debido a una validación de entrada insuficiente en el proceso de definición de reglas, los usuarios con un rol específico de negocio pueden inyectar código malicioso que se ejecuta en el servidor de aplicaciones SAP.

3. Missing Authorization en SAP MII — CVSS 9.1

SAP Security Note #3798788, con una puntuación CVSS de 9.1, parchea una vulnerabilidad de Missing Authorization en SAP Manufacturing Integration and Intelligence (Configuration Service). La vulnerabilidad fue detectada y reportada a SAP por investigadores de seguridad externos.

Notas de Alta Prioridad en Detalle

SQL Injection en SAP Commerce Cloud — CVSS 8.8

SAP Security Note #3800517, con una puntuación CVSS de 8.8, describe una vulnerabilidad de SQL Injection en SAP Commerce Cloud (OOTB Code). La validación insuficiente de la entrada proporcionada por el usuario permite la inyección de comandos SQL arbitrarios a través de atacantes autenticados.

Memory Corruption en SAP Kernel y Web Dispatcher — CVSS 7.5

SAP Security Note #3765424, con una puntuación CVSS de 7.5, parchea una vulnerabilidad de Memory Corruption en SAP Kernel ABAP, SAP Web Dispatcher, SAP Content Server y SAP HANA XSC/XSA. Dado que el problema es causado por un error de programa en la implementación de HTTP/2, solo las instalaciones donde HTTP/2 está soportado y habilitado se ven afectadas.

Denial of Service en SAP S/4HANA — CVSS 7.5

SAP Security Note #3485073, con una puntuación CVSS de 7.5, fue publicada inicialmente en Agosto de 2026 y parchea una vulnerabilidad de Denial of Service en SAP S/4HANA (Manage Supply Protection). La sección Symptom de la nota fue actualizada.

Missing Authorization Check en SAP ABAP Platform — CVSS 7.1

SAP Security Note #3626303, con una puntuación CVSS de 7.1, parchea una vulnerabilidad de Missing Authorization Check en SAP ABAP Platform que fue reintroducida con un cambio de API. El session manager puede abrirse en modo de transacción única, permitiendo a un atacante con pocos privilegios eludir las restricciones mediante solicitudes especialmente diseñadas. Esto puede resultar en un alto impacto en la integridad y un bajo impacto en la confidencialidad.

Otras Notas de Prioridad Media

Además de las notas anteriores, se publicaron varias notas de Prioridad Media que también requieren atención:

• Cross-Site Scripting (XSS) en SAP NetWeaver Enterprise Portal (#3779985, CVSS 6.1) — Permite a un atacante no autenticado inyectar scripts maliciosos en un parámetro URL, que se reflejan en la respuesta del servidor y se ejecutan en el navegador de la víctima.
• Open Redirect en SAP NetWeaver Enterprise Portal (#3790401, CVSS 6.1) — Permite a un atacante no autenticado crear un enlace malicioso que, al ser clickado, carga contenido controlado por el atacante dentro del contexto de la aplicación.
• DOM-based XSS en SAPUI5 (#3794572, CVSS 6.1) — Permite a un atacante autenticado generar un enlace malicioso y hacerlo accesible públicamente.
• Endpoints anónimos accesibles en SAP NetWeaver Enterprise Portal (#3789825, CVSS 5.3) — Bloquea dos endpoints accesibles anónimamente que exponen información que no debería ser de acceso público.
• Improper Neutralization en SAP NetWeaver Enterprise Portal (#3798823, CVSS 6.5) — Proporciona medidas de mitigación y recomendaciones operativas para minimizar el riesgo de ataque.

Tabla Resumen de Notas SAP

Conclusión

Con veintiuna notas de seguridad SAP, incluyendo tres HotNews y cuatro de Alta Prioridad, el Patch Day de Octubre de 2026 se sitúa como un mes de actividad media-alta en cuanto a volumen, pero de criticidad muy elevada por las dos vulnerabilidades con CVSS 9.9. Es especialmente relevante para los clientes de SAP S/4HANA, NetWeaver y MII, que deben priorizar la aplicación de estos parches.

En AURIT recomendamos revisar el estado de aplicación de estos parches en tus sistemas SAP cuanto antes, especialmente las notas HotNews que afectan a componentes críticos como Visual Composer y S/4HANA.

¿Necesitas ayuda con la aplicación de parches SAP?

Contamos con consultores certificados SAP que pueden asistirte en el análisis de vulnerabilidades, planificación y aplicación de parches de seguridad SAP, así como en la gestión del transporte de notas correctivas en tus sistemas.

Puedes contactarnos a través del formulario de contacto o a través de nuestra dirección de correo electrónico contacto@aurit.es

En AURIT estaremos encantados de poder ayudarte.