SAP publicó 17 nuevas notas de seguridad el 13 de enero de 2026, como parte de su Security Patch Day mensual, abordando fallos críticos de inyección y vulnerabilidades de ejecución remota de código en productos clave. No se actualizaron notas anteriores, lo que insta a las organizaciones a actuar con rapidez ante las cuatro vulnerabilidades

SAP publicó 17 nuevas notas de seguridad el 13 de enero de 2026, como parte de su Security Patch Day mensual, abordando fallos críticos de inyección y vulnerabilidades de ejecución remota de código en productos clave.

No se actualizaron notas anteriores, lo que urge a las organizaciones a actuar rápidamente sobre las cuatro vulnerabilidades de nivel HotNews.​

Cuatro problemas críticos dominan este ciclo de parches, con puntuaciones CVSS que alcanzan 9.9, indicando impactos graves como la compromisión total del sistema. Los atacantes podrían explotar estas vulnerabilidades de forma remota, a menudo con bajos privilegios, para manipular datos o ejecutar código en diferentes ámbitos.​

El problema más urgente es una inyección SQL en SAP S/4HANA Private Cloud y On-Premise Financials – General Ledger (CVE-2026-0501), donde usuarios autenticados con bajos privilegios pueden inyectar consultas SQL arbitrarias, comprometiendo la confidencialidad, integridad y disponibilidad de los datos financieros.

La ejecución remota de código afecta a SAP Wily Introscope Enterprise Manager Workstation (CVE-2026-0500), permitiendo a atacantes no autenticados, con interacción del usuario, tomar el control.

Fallos de inyección de código impactan en SAP S/4HANA (CVE-2026-0498) y Landscape Transformation (CVE-2026-0491), ambos con una puntuación CVSS de 9.1, permitiendo a usuarios con altos privilegios inyectar y ejecutar código malicioso de forma remota.​

Riesgos altos y medios

Las notas de alta prioridad incluyen escalada de privilegios en SAP HANA (CVE-2026-0492, CVSS 8.8), permitiendo a usuarios con bajos privilegios obtener control total de la base de datos, e inyección de comandos del sistema operativo en servidores ABAP (CVE-2026-0507, CVSS 8.4).

Faltas de autorización en NetWeaver ABAP (CVE-2026-0506, CVSS 8.1) y aplicaciones Fiori (CVE-2026-0511 y otros, CVSS 8.1) exponen integridad y fugas de datos.​

Los problemas de riesgo medio cubren XSS en NetWeaver Portal (CVE-2026-0499, CVSS 6.1) y Business Connector (CVE-2026-0514), redirecciones abiertas, CSRF e filtraciones de información en Fiori y SRM, todos con alcance de red. Las correcciones de baja severidad abordan entrada JNDI débil y cifrado obsoleto en Identity Management y NW Java.​

Los administradores deben parchear inmediatamente las notas críticas, especialmente las de inyección SQL y RCE en 24 horas, y las de inyección de código con urgencia para evitar brechas en herramientas financieras y de monitorización.

Prueba los parches primero en entornos de staging, priorizando implementaciones de S/4HANA y HANA, ampliamente utilizadas en empresas. SAP insiste en revisar las notas en el Portal de Soporte y aplicar capas de defensa como segmentación de red hasta que se apliquen las actualizaciones.