SAP lanzó actualizaciones de seguridad en mayo de 2026 para corregir 15 vulnerabilidades, incluyendo dos críticas en Commerce Cloud y S/4HANA que permiten la ejecución de código remoto e inyecciones SQL. El aviso también soluciona fallos de severidad alta y media, como XSS y denegación de servicio. Aunque no hay evidencia de explotación actual, se recomienda aplicar los parches para evitar accesos no autorizados a datos sensibles.




SAP ha publicado las actualizaciones de seguridad de mayo de 2026 que corrigen 15 vulnerabilidades en múltiples productos, incluyendo dos fallos críticos en Commerce Cloud y S/4HANA.

Commerce Cloud es una plataforma de comercio electrónico de grado empresarial utilizada por tiendas en línea de grandes minoristas y marcas globales, mientras que S/4HANA es una suite de Planificación de Recursos Empresariales (ERP) basada en la nube que reemplazará el sistema ERP ECC local de la compañía.

Rastreado como CVE-2026-34263, el primer fallo crítico es una falta de comprobación de autenticación en SAP Commerce Cloud que permite a atacantes no autenticados ejecutar código en servidores vulnerables.

"Debido a una configuración incorrecta de Spring Security, SAP Commerce cloud permite que un usuario no autenticado realice una carga de configuración maliciosa e inyección de código, resultando en la ejecución de código arbitrario en el servidor, lo que conlleva un alto impacto en la Confidencialidad, Integridad y Disponibilidad de la aplicación", afirma SAP.

La segunda vulnerabilidad crítica (CVE-2026-34260) permite a atacantes con privilegios básicos inyectar sentencias SQL maliciosas en ataques de inyección SQL de baja complejidad.

"La aplicación concatena directamente esta entrada de usuario maliciosa en consultas SQL, que luego se pasan a la base de datos subyacente sin la validación o saneamiento adecuados", según SAP. "Tras una explotación exitosa, un atacante puede obtener acceso no autorizado a información sensible de la base de datos y podría potencialmente bloquear la aplicación. Esta vulnerabilidad tiene un alto impacto en la confidencialidad y disponibilidad de la aplicación, mientras que la integridad permanece inalterada".

El aviso de seguridad de mayo de 2026 de SAP (enlace) también enumera correcciones para un fallo de severidad alta y 11 problemas de severidad media, incluyendo inyección de comandos, falta de comprobaciones de autorización, cross-site scripting (XSS), cross-site request forgery (CSRF) y denegación de servicio.

Aunque SAP no ha encontrado evidencia de que alguna de las vulnerabilidades parcheadas hoy haya sido explotada, la CISA ha añadido 14 fallos de seguridad de SAP (enlace) a su catálogo de Vulnerabilidades Explotadas Conocidas en años recientes, incluyendo dos que fueron abusadas en ataques de ransomware.

Recientemente, múltiples paquetes oficiales de SAP npm fueron comprometidos en un ataque a la cadena de suministro destinado a robar credenciales y tokens de autenticación de los sistemas de los desarrolladores.

Como el proveedor más grande del mundo de software empresarial, la corporación multinacional de software alemana presta servicio a 99 de las 100 empresas más grandes del mundo y reportó ingresos totales superiores a 36.000 millones de euros en el año fiscal 2025.

Fuente:
BleepingComputer