SAP Security Patch Day Noviembre 2026: Cuatro Vulnerabilidades Críticas CVSS 10.0 en ICM, Web Dispatcher, Gateway y SAML2

Destacados del SAP Security Patch Day Noviembre 2026:

• Mes histórico — SAP publicó 38 notas de seguridad, incluyendo nueve notas HotNews, la cifra más alta del año.
• Cuatro CVSS 10.0 — Por primera vez, cuatro vulnerabilidades alcanzan la puntuación máxima, todas explotables sin autenticación.
• ICM y Web Dispatcher — Dos vulnerabilidades de corrupción de memoria en WebSocket permiten ejecución remota de código antes del login.
• SAML2 bypass — Un fallo en la verificación de firmas SAML2 permite a un atacante autenticarse como cualquier usuario, incluyendo administradores.
• Gateway ACL — La lista de control de acceso por defecto de SAP Gateway puede clasificar a un atacante externo como servidor interno.
• 17 parches en kernel — La mayoría de las correcciones críticas residen en el kernel SAP, recomendando un único rollout planificado.

Resumen del Patch Day de Noviembre 2026

SAP ha publicado 38 notas de seguridad en su Patch Day de Noviembre de 2026, incluyendo nueve notas HotNews, trece de Alta Prioridad, quince de Prioridad Media y una de Prioridad Baja. Del total, 35 son nuevas y tres son revisiones de notas anteriores.

Este mes es excepcional por la presencia de cuatro vulnerabilidades con puntuación CVSS 10.0, el máximo nivel de criticidad, y lo más relevante: ninguna requiere autenticación para ser explotada. Dos de ellas permiten ejecución remota de código (RCE) a través del canal WebSocket del ICM y Web Dispatcher.

La mayoría de las correcciones críticas residen en el kernel SAP, por lo que la recomendación práctica para la mayoría de los entornos es un único rollout planificado de kernel y Web Dispatcher que cubra las 17 notas que afectan a estos componentes.

Las Cuatro Vulnerabilidades CVSS 10.0

1. Corrupción de Memoria en ICM (CVE-2026-76964) — Nota 3778530

Una vulnerabilidad de corrupción de memoria en el Internet Communication Manager (ICM) de SAP NetWeaver AS ABAP permite a un atacante no autenticado enviar tramas WebSocket manipuladas con campos de longitud inválidos, causando una escritura fuera de los límites del heap (heap out-of-bounds write) antes del proceso de autenticación. La explotación exitosa puede llevar a la ejecución de código arbitrario y al compromiso total del sistema.

Las versiones afectadas incluyen KRNL64UC 7.53 y KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 y 9.20. SAP NetWeaver AS Java no se ve afectado. La corrección se distribuye a través de dw.sar y el SP Stack Kernel.

Si los usuarios acceden al ICM únicamente a través de un Web Dispatcher, parchear dicho Web Dispatcher a los niveles indicados en la nota FAQ 3778788 protege el ICM de forma temporal, siempre que nadie pueda alcanzar los puertos del ICM directamente. Deshabilitar el soporte WebSocket también bloquea la vulnerabilidad como último recurso, aunque afecta a funciones como ABAP Push Channels.

2. Corrupción de Memoria en Web Dispatcher (CVE-2026-89126) — Nota 3778556

Con la misma causa raíz que la vulnerabilidad del ICM, esta vulnerabilidad afecta a SAP Web Dispatcher, incluyendo las instancias standalone y embebidas, así como las de SAP HANA XS Classic y XS Advanced. SAP Content Server no se ve afectado.

Las rutas de parcheo incluyen SAPWEBDISP.SAR para instancias standalone, dw.sar o SP Stack Kernel para instancias embebidas, SPS08 revisión 089.05 o SPS07 revisión 079.11 para HANA XS Classic, y versión 1.5.4 o superior para XS Advanced. Es fundamental localizar todas las instancias de Web Dispatcher, ya que una instancia sin parchear deja la vulnerabilidad abierta.

3. Control de Acceso en SAP Gateway (CVE-2026-89103) — Nota 3798345

La lista de control de acceso (ACL) por defecto de SAP Gateway podía clasificar a un atacante externo como un servidor de aplicaciones interno. Cuando secinfo y reginfo no contienen reglas explícitas, o dependen de la palabra clave «internal host», el Gateway recurre a reglas que permiten a los propios servidores de aplicaciones del sistema. Un atacante que se haga pasar por uno de ellos podría alcanzar las vías de ataque clásicas de Gateway hacia la ejecución de comandos.

La nota no lista workaround. Para kernels hasta 7.77, la corrección añade el parámetro de perfil gw/acl_mode_proxy, que refuerza las reglas por defecto. Los kernels desde 7.93 ya lo incorporan. Se recomienda verificar que gw/acl_mode esté en 1, que secinfo y reginfo contengan reglas explícitas, y que el puerto de Gateway (33xx) no sea accesible desde redes de usuario o internet.

4. Bypass de Autenticación SAML2 (CVE-2026-120017) — Nota 3849308

Bajo ciertas configuraciones, el proveedor de servicios SAML2 no verificaba las firmas en las aserciones entrantes. Esto permite a un atacante falsificar una respuesta SAML y autenticarse como cualquier usuario, incluyendo administradores. Es necesario revisar todos los sistemas Fiori o Web GUI que utilicen SAML SSO. No existe workaround. Las versiones afectadas incluyen SAP_BASIS 702, 731, 740, 750-758, 816, 920, 921 y 922.

Se recomienda revisar todos los proveedores de identidad configurados en la transacción SAML2 y auditar los logs de acceso SAML de usuarios privilegiados desde fuentes inesperadas.

Otras Notas HotNews

Inyección de Comandos en SAPFTP (CVE-2026-76965) — CVSS 9.9

La nota 3792735 aborda una vulnerabilidad de inyección de comandos OS en el componente SAPFTP sobre RFC. Un usuario ABAP con pocos privilegios puede ejecutar comandos del sistema operativo. Como medida de mitigación temporal, se recomienda eliminar S_RFC para el grupo de funciones SFTP.

Inyección XSLT en S4CRM (CVE-2026-109795) — CVSS 9.9

La nota 3834842 corrige una vulnerabilidad en S4CRM y SAP CRM donde una función remota sin verificaciones de autorización permite inyección XSLT. Requiere usuario autenticado.

Inyección de Código en Knowledge Management (CVE-2026-109803) — CVSS 9.9

La nota 3809153 corrige una vulnerabilidad en los formularios XML de Knowledge Management en el portal, que procesa una transformación XSL seleccionada por la solicitud.

CSRF en Web Dispatcher e ICM (CVE-2026-89119) — CVSS 9.6

La nota 3804858 corrige una vulnerabilidad de Cross-Site Request Forgery en la interfaz de administración de Web Dispatcher e ICM. Aunque solo aplica donde existen parámetros icm/HTTP/admin y alguien tiene el rol de administrador, un solo clic de un administrador puede llevar al compromiso del sistema operativo.

XXE en BusinessObjects Web Intelligence (CVE-2026-109798) — CVSS 9.1

La nota 3799117 corrige una vulnerabilidad de XML External Entity Injection en BusinessObjects Web Intelligence que permite a un usuario autenticado leer archivos del servidor y alcanzar sistemas internos a través de conexiones OLAP.

Notas de Alta Prioridad

Las notas de Alta Prioridad de noviembre incluyen principalmente correcciones de kernel, Web Dispatcher, IGS y AS Java:

• Corrupción de memoria en protocolo RFC (3769130, CVSS 8.9) — Vulnerabilidad no autenticada en el protocolo RFC que permite corrupción de memoria.
• Corrupción de memoria en IGS (3809953, CVSS 8.2) — Internet Graphics Service, parche independiente.
• Caída de proceso en Web Dispatcher (3803832, CVSS 7.7) — Denegación de servicio en Web Dispatcher.
• Múltiples vulnerabilidades en Message Server — Corrupción de memoria (3789273, CVSS 7.5), desbordamiento de heap (3805570, CVSS 7.5) y divulgación de información (3808552, CVSS 7.5).
• Corrupción de memoria en parser AS ABAP (3792915, CVSS 7.5).
• Agotamiento de recursos en ICM (Brotli) (3805681, CVSS 7.5) — Tiene workaround: establecer ict/disable_brotli = TRUE.
• Denegación de servicio en ICM (3808627, CVSS 7.5) — Parsing de cabeceras HTTP.
• Denegación de servicio en IGS (3809934, CVSS 7.5).
• Autenticación missing en AS Java EDM (3810485, CVSS 7.5).
• Validación de entrada en SAP Host Agent (3842766, CVSS 7.5).
• Inyección de código en ADT AMDP Preview (3833364, CVSS 7.2).

Otras Notas de Prioridad Media y Baja

Además de las notas anteriores, se publicaron varias notas de Prioridad Media que también requieren atención:

• Denegación de servicio en ABAP RFC (3793716, CVSS 6.5).
• Server-Side Request Forgery en AS ABAP (3805959, CVSS 6.5).
• Control de acceso en NWDI Cockpit (3839977, CVSS 6.5).
• Criptografía débil en RFC Callback (3786876, CVSS 6.4).
• Inyección CSS en Web Dynpro Java (3797108, CVSS 6.1) — Cambia la carga de temas Web Dynpro al host actual por defecto, puede romper configuraciones de temas personalizados.
• XSS Reflejado en Visual Composer (3806484, CVSS 6.1).
• Almacenamiento de contraseñas en ICM (3782056, CVSS 6.0) — Los usuarios admin existentes conservan sus hashes antiguos hasta que se restablezcan.
• SSRF en AS Java WS-Addressing (3835738, CVSS 5.8).
• Control de acceso en PI Test Tool (3792447, CVSS 5.3).
• Denegación de servicio en BusinessObjects Struts (3803144, CVSS 5.3).
• Exposición de credenciales en SAP Start Service (3740168, CVSS 4.4).
• CSRF en Enterprise Portal (3801587, CVSS 4.3).
• Autorización missing en ST-PI (3802244, CVSS 3.1, Prioridad Baja).

Notas Revisadas

SAP también revisó varias notas existentes alrededor del Patch Day de Noviembre. Es importante verificar si ya se implementaron versiones anteriores de estas notas:

• XSS en SAP GUI para HTML (3671819, CVSS 5.4) — Nuevas instrucciones de corrección (v18).
• Inyección de código en S/4HANA (3805589, CVSS 9.9) — Corrección para S4CORE 106 (6 Nov).
• Inyección SQL en S/4HANA ICMR (3756450, CVSS 6.5) — Instrucciones de corrección actualizadas (27 Oct).
• Autorización missing en ABAP (3703856, CVSS 6.4) — Instrucciones de corrección actualizadas (27 Oct).
• WebClient UI (3155685, 3101986) — Títulos y síntomas reformulados.

Tabla Resumen de Notas SAP

Conclusión

Con 38 notas de seguridad, incluyendo nueve HotNews y cuatro vulnerabilidades CVSS 10.0, el Patch Day de Noviembre de 2026 es el más crítico del año. La presencia de cuatro fallos explotables sin autenticación —dos de ellos permitiendo ejecución remota de código— hace que la aplicación de estos parches sea una prioridad máxima para cualquier equipo de seguridad SAP.

La recomendación principal es planificar un rollout único de kernel y Web Dispatcher que cubra las 17 notas que afectan a estos componentes, prestando especial atención a los sistemas con SAML SSO habilitado y a las configuraciones de Gateway sin reglas explícitas en secinfo/reginfo.

En AURIT recomendamos revisar el estado de aplicación de estos parches en tus sistemas SAP cuanto antes, especialmente las cuatro notas con CVSS 10.0 que afectan a componentes críticos como ICM, Web Dispatcher, Gateway y SAML2.

¿Necesitas ayuda con la aplicación de parches SAP?

Contamos con consultores certificados SAP que pueden asistirte en el análisis de vulnerabilidades, planificación y aplicación de parches de seguridad SAP, así como en la gestión del transporte de notas correctivas en tus sistemas.

Puedes contactarnos a través del formulario de contacto o a través de nuestra dirección de correo electrónico contacto@aurit.es

En AURIT estaremos encantados de poder ayudarte.