SAP lanzó un paquete de parches de seguridad para corregir 15 vulnerabilidades, destacando cuatro de severidad crítica que afectan a SAP NetWeaver y SAP Commerce Cloud. Entre los fallos más graves se encuentran errores de corrupción de memoria y omisión de autenticación que podrían permitir el acceso no autorizado a datos sensibles. Se recomienda a las organizaciones actualizar sus sistemas prioritariamente para mitigar estos riesgos.

SAP ha lanzado correcciones para 15 vulnerabilidades como parte de su paquete de parches de seguridad de junio de 2026, incluyendo cuatro fallos de severidad crítica que afectan a SAP NetWeaver y SAP Commerce Cloud.

NetWeaver es la plataforma de aplicaciones central y la pila de middleware de SAP que proporciona la base para muchas aplicaciones empresariales de SAP, incluidos los sistemas ERP, gestionando funciones como el servicio de aplicaciones, la integración, la autenticación, la gestión de usuarios y el procesamiento de datos.

Commerce Cloud es una plataforma de comercio electrónico empresarial (anteriormente Hybris). Permite a las organizaciones crear y gestionar tiendas online, canales de venta digitales, catálogos de productos, cuentas de clientes y sistemas de gestión de pedidos para el comercio B2B y B2C.

En el boletín de seguridad de este mes [http://support.sap.com/en/my-support/knowledge-base/security-notes-news/june-2026.html], SAP enumera las siguientes vulnerabilidades críticas que han sido solventadas:

• * CVE-2026-44748 (CVSS 9.9) – Envolvimiento de firma XML en SAP NetWeaver AS ABAP y ABAP Platform, permitiendo potencialmente la omisión de la autenticación en entornos basados en SAML.
• * CVE-2026-27671 (CVSS 9.8) – Fallo de corrupción de memoria en SAP NetWeaver/ABAP Platform Application Server ABAP.
• * CVE-2026-22732 (CVSS 9.1) – Vulnerabilidad relacionada con Spring Security que afecta a SAP Commerce Cloud y SAP Data Hub.
• * CVE-2026-40128 (CVSS 9.0) – Vulnerabilidad de salto de directorio en el contenedor web de SAP NetWeaver Application Server Java.

“SAP NetWeaver Application Server ABAP y ABAP Platform permite que un atacante autenticado con privilegios normales obtenga un mensaje firmado válido y envíe documentos XML firmados modificados al verificador”, dice la descripción de CVE-2026-44748 [http://www.cve.org/CVERecord?id=CVE-2026-44748].

“Esto puede resultar en la aceptación de información de identidad manipulada, lo que conduciría al acceso no autorizado a datos sensibles del usuario y a la posible interrupción del uso normal del sistema”.

En el caso de CVE-2026-27671 [http://www.cve.org/CVERecord?id=CVE-2026-27671], un atacante puede explotarlo sin autenticación enviando solicitudes RFC diseñadas a puntos finales vulnerables, aprovechando una validación incorrecta del kernel para causar corrupción de memoria.

Aparte de los problemas de seguridad críticos anteriores, SAP también abordó dos vulnerabilidades de severidad alta. CVE-2026-29145 comprende múltiples fallos de Apache Tomcat que impactan en Commerce Cloud, y CVE-2026-44751, que es un problema de falta de comprobación de autorización en NetWeaver AS ABAP.

La empresa alemana de software empresarial también solucionó varios problemas de inyección SQL, salto de ruta, cross-site scripting (XSS), suplantación de identidad de correo electrónico y omisión de autorización en múltiples productos de SAP.

Los detalles sobre los fallos y los consejos de mitigación o soluciones alternativas están disponibles únicamente para los clientes de SAP con una cuenta del portal de seguridad.

Las organizaciones que utilicen los productos afectados deben priorizar el parcheo, especialmente el fallo de autenticación SAML (CVE-2026-44748) y el problema de corrupción de memoria (CVE-2026-27671), que fueron calificados con una severidad muy alta y podrían tener un impacto grave en los entornos empresariales.

Fuente:
BleepingComputer