SAP lanzó actualizaciones de seguridad en julio de 2026 para corregir varias vulnerabilidades críticas, destacando una falla de corrupción de memoria en SAP NetWeaver. También se resolvieron problemas de contraseñas predeterminadas en SAP Commerce Cloud y errores de solicitud HTTP en SAP Approuter. Se recomienda encarecidamente instalar los parches para evitar el acceso no autorizado a datos o ataques de denegación de servicio.



SAP ha lanzado actualizaciones para solucionar múltiples vulnerabilidades aquí como parte de sus actualizaciones de seguridad de julio de 2026, incluyendo un fallo crítico en SAP NetWeaver Application Server ABAP.

La vulnerabilidad en cuestión es la CVE-2026-44747 (puntuación CVSS: 9.9), un fallo de escritura fuera de límites que permite a un atacante autenticado aprovechar errores lógicos en la gestión de la memoria para provocar una corrupción de memoria que podría derivar en el acceso no autorizado a datos, su modificación o la indisponibilidad del sistema.

"Como solución temporal, la nota propone desactivar todos los nodos ICF con una propiedad específica en la transacción SICF", afirmó la firma de seguridad de SAP, Onapsis aquí. "Dado que la solución temporal desactivará la apertura de transacciones en SAP GUI para HTML, no es una opción para todos los clientes y se recomienda encarecidamente instalar la versión de parcheo del Kernel ABAP".

SAP también ha solucionado otras dos vulnerabilidades críticas:

* CVE-2026-27690 (puntuación CVSS: 9.1) - Un fallo de contrabando de solicitudes/respuestas HTTP en despliegues de SAP Approuter en entornos que no son Cloud Foundry, que permite a un atacante no autenticado enviar una solicitud HTTP especialmente diseñada que provoca una desincronización de la solicitud-respuesta y resulta en la exposición de respuestas de usuario y desencadena ataques de denegación de servicio (DoS).
* CVE-2026-44761 (puntuación CVSS: 9.1) - Un fallo por el uso de credenciales predeterminadas en SAP Commerce Cloud que podría mantener un cliente de ejemplo OAuth 2.0 con credenciales de ejemplo documentadas públicamente, originadas en una configuración de muestra proporcionada en la documentación del portal de ayuda de SAP.

"Si no se cambia, un atacante no autenticado podría utilizar estas credenciales bien conocidas para obtener un token de acceso válido e invocar ciertas API para leer y modificar datos", según una descripción de la CVE-2026-44761 en la Base de Datos Nacional de Vulnerabilidades (NVD) del NIST. "Una explotación exitosa resulta en un alto impacto en la confidencialidad e integridad, sin impacto en la disponibilidad".

Onapsis señaló que la vulnerabilidad proviene de scripts de configuración de ejemplo proporcionados anteriormente en el portal de ayuda de SAP. Estos scripts, destinados originalmente al desarrollo y las pruebas, configuran clientes OAuth 2.0 con credenciales predeterminadas y hard-coded.

"Las versiones anteriores de la documentación no advertían explícitamente a los clientes contra la importación de estos ajustes predeterminados en producción", señaló. "Un atacante no autenticado puede aprovechar estas credenciales predeterminadas disponibles públicamente para obtener un token de acceso válido. Con este token, pueden invocar API específicas para leer y alterar los datos del sistema. La explotación requiere que el cliente haya ejecutado el script de ejemplo y haya mantenido el cliente OAuth 2.0 resultante en producción sin reemplazar el secreto hard-coded".

Vale la pena mencionar que los clientes que eliminaron el cliente de ejemplo o reemplazaron el secreto con un valor fuerte y único no se ven afectados por el error. Se recomienda que audites tus entornos de producción para detectar la presencia del cliente de ejemplo OAuth 2.0 afectado. Si el cliente existe, debes eliminarlo.

Aunque no hay pruebas de que los fallos estén siendo explotados en el mundo real, se te aconseja aplicar las actualizaciones necesarias para una protección óptima.

Fuente:
THN