El Día de Parches de Seguridad de SAP de febrero de 2026 entregó correcciones que SAP insta a los clientes a priorizar para reducir la exposición en cargas de trabajo empresariales críticas. La publicación incluye 26 nuevas Notas de Seguridad de SAP y una actualización a una nota publicada anteriormente.

El boletín mensual de SAP es una guía de remediación para vulnerabilidades identificadas en productos SAP, con una recomendación explícita de revisar el Portal de Soporte y aplicar los parches de manera oportuna para proteger el entorno SAP.

El problema de mayor riesgo identificado es CVE-2026-0488, una vulnerabilidad de inyección de código en SAP CRM y SAP S/4HANA (Editor de Scripting) que permite a usuarios autenticados con bajos privilegios inyectar y ejecutar código arbitrario con impacto entre ámbitos, y está asociado con la Nota de SAP 3697099 (CVSS 9.9).

Desde una perspectiva de cadena de ataque, esta clase de fallo es especialmente peligrosa en entornos SAP porque puede convertir el acceso de "usuario de negocio" en ejecución a nivel de aplicación, permitiendo el movimiento lateral hacia módulos e integraciones estrechamente acoplados.

Un segundo elemento crítico, CVE-2026-0509, es una verificación de autorización faltante en SAP NetWeaver Application Server ABAP / ABAP Platform que puede permitir a usuarios autenticados con bajos privilegios eludir controles de autorización (Nota de SAP 3674774; CVSS 9.6).

Entre el conjunto de severidad alta, CVE-2026-23687 (XML Signature Wrapping) en SAP NetWeaver AS ABAP / ABAP Platform se destaca como un riesgo para escenarios de manipulación de firmas que pueden socavar decisiones de confianza en flujos basados en XML.

La disponibilidad también tiene un papel destacado: CVE-2026-23689 afecta a SAP Supply Chain Management y se describe como consumo no controlado de recursos, donde un usuario autenticado puede invocar repetidamente un módulo de función habilitado para remoto utilizando un parámetro de control de bucle excesivamente grande, agotando los recursos del sistema hasta que el servicio se vuelve inaccesible.

La misma cobertura del Día de Parches también señala múltiples problemas de denegación de servicio y vulnerabilidades de redirección/XSS en SAP BusinessObjects BI Platform y componentes relacionados, reforzando que los puntos finales accesibles externamente o orientados al usuario merecen un escrutinio adicional durante la evaluación.