SAP lanzó el 9 de junio sus parches de seguridad, introduciendo 15 nuevas notas para corregir diversas vulnerabilidades en sus productos principales. Entre ellas, destacan cuatro fallos de severidad crítica que requieren atención inmediata. La compañía insta a todos sus clientes a aplicar estas actualizaciones prioritariamente a través del Portal de Soporte de SAP.

El Día de Parches de Seguridad de SAP de junio de 2026, observado el martes 9 de junio, proporcionó 15 nuevas notas de seguridad que abordan una amplia gama de vulnerabilidades en los productos principales de SAP, incluyendo cuatro fallos de gravedad crítica que requieren la atención inmediata de tu empresa.

SAP te insta encarecidamente a que visites el Portal de Soporte de SAP y apliques los parches con prioridad para proteger tu entorno de SAP.

Vulnerabilidades Críticas Corregidas

El fallo más grave corregido en este ciclo es el CVE-2026-44748 (CVSS 9.9), una vulnerabilidad de Envoltorio de Firma XML (XML Signature Wrapping) en la Autenticación SAML que afecta a SAP NetWeaver AS ABAP y ABAP Platform.

Este fallo permite que un atacante autenticado con bajos privilegios obtenga un mensaje firmado válido y transmita documentos XML modificados al verificador, lo que podría permitir la aceptación de información de identidad manipulada, el acceso no autorizado a datos sensibles de usuarios y la escalada de privilegios en los sistemas empresariales. La vulnerabilidad abarca una gama extensa de versiones de SAP_BASIS desde la 702 hasta la 919, lo que hace que el alcance del parche sea excepcionalmente amplio.

Un segundo problema crítico, el CVE-2026-27671 (CVSS 9.8), se dirige al núcleo del Servidor de Aplicaciones ABAP e introduce un riesgo de corrupción de memoria mediante la validación incorrecta del protocolo RFC.

A diferencia del fallo de SAML, esta vulnerabilidad no requiere autenticación; un atacante puede enviar una solicitud RFC especialmente diseñada que explota errores lógicos en la gestión de la memoria sin ninguna credencial válida, lo que conduce a un compromiso de alto impacto en la confidencialidad, integridad y disponibilidad. Los componentes afectados incluyen múltiples versiones de KRNL64NUC, KRNL64UC y KERNEL.

El CVE-2026-22732 (CVSS 9.1) corrige una vulnerabilidad de Spring Security dentro de SAP Commerce Cloud y SAP Data Hub, permitiendo que atacantes remotos no autenticados afecten la confidencialidad y la integridad sin interacción del usuario.

Completando el cuarteto crítico se encuentra el CVE-2026-40128 (CVSS 9.0), un fallo de Salto de Directorio (Directory Traversal) en el Contenedor Web del Servidor de Aplicaciones Java de SAP NetWeaver (ENGINEAPI 7.50), donde un atacante con acceso a la red puede recorrer estructuras de directorios para alcanzar recursos sensibles con un alto impacto en la confidencialidad, integridad y disponibilidad.

Parches de Gravedad Alta

SAP también abordó dos notas de alta prioridad en este ciclo. El CVE-2026-29145 (CVSS 7.4) agrupa múltiples vulnerabilidades de Apache Tomcat —incluyendo CVE-2025-66614 y CVE-2026-24734 dentro de SAP Commerce Cloud (HY_COM 2205, COM_CLOUD 2211)—, lo que permite a atacantes no autenticados explotar debilidades en el servidor Tomcat embebido.

El CVE-2026-44751 (CVSS 7.1) soluciona una Falta de Verificación de Autorización en SAP NetWeaver AS ABAP y ABAP Platform que afecta a las versiones de SAP_BASIS 700 a 816, donde un atacante de red con bajos privilegios podría lograr un alto impacto en la integridad y una interrupción parcial de la disponibilidad.

Notas de Gravedad Media y Baja

El fallo de Inyección SQL en SAP S/4HANA (CVE-2026-44744, CVSS 6.5) plantea un riesgo notable de exposición de datos, permitiendo que atacantes autenticados con bajos privilegios consulten contenido sensible de la base de datos mediante entradas diseñadas en las versiones de S4FND 102 a 109.

El XSS Reflejado en el Servlet de Prueba JDBC de SAP NetWeaver (CVE-2026-44746) y el aviso relacionado con Log4j en SAP NetWeaver AS Java (CVE-2025-68161) completan los parches de nivel inferior, aunque este último sirve como recordatorio de que las dependencias de librerías de terceros dentro de los productos de SAP continúan introduciendo riesgos residuales.

Si gestionas entornos de SAP, debes priorizar la remediación en el siguiente orden:

1. CVE-2026-44748 – Aplica la corrección de Firma XML de SAML inmediatamente en todas las versiones de SAP_BASIS; como solución temporal, se puede desactivar la autenticación SAML, aunque esto no cubre todos los casos de uso de XML firmado.
2. CVE-2026-27671 – Parchea todas las versiones afectadas del Kernel de SAP (7.22–9.19) para eliminar el vector de corrupción de memoria RFC no autenticado.
3. CVE-2026-22732 y CVE-2026-40128 – Actualiza SAP Commerce Cloud, SAP Data Hub y NetWeaver Java (ENGINEAPI 7.50) para remediar los fallos de Spring Security y de Salto de Directorio.
4. CVE-2026-29145 – Aplica el parche del paquete Apache Tomcat para SAP Commerce Cloud para solucionar múltiples vulnerabilidades del servidor embebido.
5. Resto de notas medias/bajas – Prográmalas dentro del ciclo estándar mensual de gestión de parches, priorizando especialmente las correcciones de inyección SQL de S/4HANA y XSS de NetWeaver AS Java.

El Día de Parches de Seguridad de SAP está programado para el segundo martes de cada mes. Se te recomienda encarecidamente implementar un proceso estructurado de gestión de parches de SAP y monitorear el portal de Notas de Seguridad de SAP para cualquier actualización fuera de ciclo tras este periodo.