SAP publicó 15 nuevas notas de seguridad en su Patch Day de marzo de 2026, abordando una serie de vulnerabilidades en su portafolio de productos, incluyendo dos fallos críticos que podrían permitir la ejecución remota de código y la compromisión total del sistema.

SAP insta a todos los clientes a visitar su Portal de Soporte y priorizar la aplicación de parches para proteger sus entornos SAP.

La vulnerabilidad más grave abordada este mes es CVE-2019-17571, con una puntuación CVSS de 9.8, que afecta a la aplicación SAP Quotation Management Insurance (FS-QUO 800).

La vulnerabilidad proviene de un componente obsoleto de Apache Log4j SocketServer integrado en el producto, una clase que acepta y deserializa eventos de registro serializados sin autenticación, permitiendo que un atacante remoto no autenticado ejecute código arbitrario en el sistema anfitrión.

A pesar de que el identificador CVE se remonta a 2019, esta es la primera vez que se emite un parche específicamente para FS-QUO 800, lo que destaca cómo los componentes heredados en el software empresarial pueden permanecer expuestos durante períodos prolongados.

El segundo problema crítico, CVE-2026-27685 (CVSS 9.1), afecta a SAP NetWeaver Enterprise Portal Administration que ejecuta EP-RUNTIME 7.50.

Esta falla de deserialización insegura permite a un usuario privilegiado cargar contenido malicioso o no confiable que, al ser deserializado por el servidor, tiene un alto impacto en la confidencialidad, integridad y disponibilidad del sistema anfitrión, proporcionando efectivamente una vía para el control total del sistema. La Nota de Seguridad de SAP 3714585 aborda este problema.

Vulnerabilidades de severidad alta y media

Se parcheó una vulnerabilidad de denegación de servicio de alta severidad, CVE-2026-27689 (CVSS 7.7), en SAP Supply Chain Management, afectando a múltiples versiones de SCMAPO, S4CORE, S4COREOP y SCM. Un atacante autenticado con bajos privilegios puede explotar esta falla a través de la red para interrumpir la disponibilidad en los componentes afectados de gestión de la cadena de suministro sin necesidad de interacción del usuario.

Varias fallas de severidad media completan el lote de parches, abarcando las plataformas más ampliamente desplegadas de SAP:

• CVE-2026-24316 (CVSS 6.4) — Una vulnerabilidad de Server-Side Request Forgery (SSRF) en SAP NetWeaver Application Server para ABAP en versiones de SAP_BASIS 740 a 918, que potencialmente permite a los atacantes realizar solicitudes no autorizadas del lado del servidor a recursos internos.
• CVE-2026-24309 (CVSS 6.4) — Una verificación de autorización faltante en SAP NetWeaver AS para ABAP que afecta a versiones de SAP_BASIS 700 a 816, lo que podría permitir la modificación no autorizada de datos y la interrupción del servicio.
• CVE-2026-27684 (CVSS 6.4) — Una falla de inyección SQL en el componente de Notificación de Retroalimentación de SAP NetWeaver en versiones de SAP_ABA 700 a 816, permitiendo la exfiltración parcial de datos y la interrupción del servicio.
• CVE-2026-0489 (CVSS 6.1) — Una vulnerabilidad de Cross-Site Scripting (XSS) basada en DOM en SAP Business One (Job Service) versiones B1_ON_HANA 10.0 y SAP-M-BO 10.0, que requiere interacción del usuario para activarse.

Parches adicionales de severidad media cubren verificaciones de autorización faltantes en SAP Business Warehouse (CVE-2026-27686), SAP S/4HANA HCM Portugal (CVE-2026-27687), SAP NetWeaver AS para ABAP (CVE-2026-27688) y SAP Solution Tools Plug-In (CVE-2026-24313).

Las correcciones de menor severidad incluyen protección de almacenamiento inseguro en SAP Customer Checkout 2.0 (CVE-2026-24311), secuestro de DLL en SAP GUI para Windows con GuiXT activo (CVE-2026-24317), una condición de denegación de servicio relacionada con una versión obsoleta de OpenSSL en el componente Adobe Document Services de SAP NetWeaver AS Java (CVE-2025-9230, CVE-2025-9232), y un problema de autorización faltante de baja severidad en SAP NetWeaver AS para ABAP (CVE-2026-24310).

Los administradores de SAP deben tratar las dos notas críticas 3698553 y 3714585 como prioridades inmediatas debido al riesgo de ejecución remota de código que representan. Las organizaciones que ejecutan SAP NetWeaver, SAP Supply Chain Management o SAP Business One deben auditar todos los rangos de versiones afectados y aplicar las notas de seguridad correspondientes a través del Portal de Soporte de SAP sin demora.

El Patch Day de SAP ocurre el segundo martes de cada mes, y mantener un ciclo de gestión de parches estructurado alineado con este calendario sigue siendo una práctica fundamental para la seguridad de SAP en las empresas.