SAP ha lanzado sus actualizaciones del Día del Parche de Seguridad de septiembre de 2026, que incluyen 19 nuevas notas de seguridad y una actualización de una nota previa. Estos parches corrigen vulnerabilidades en diversos productos empresariales, destacando SAP NetWeaver, SAP S/4HANA, SAP Commerce Cloud, SAP Integration Suite, entre otros.

SAP ha publicado sus actualizaciones del Día del Parche de Seguridad de septiembre de 2026, entregando 19 nuevas notas de seguridad y una actualización de una nota emitida previamente.

Los parches solucionan vulnerabilidades en SAP NetWeaver, SAP Extended Passport Processing, SAP Cloud Application Programming Model, SAP S/4HANA, SAP Integration Suite, SAP Commerce Cloud y otros productos empresariales.

El problema más grave es el CVE-2026-44756, una vulnerabilidad crítica de corrupción de memoria en SAP Extended Passport Processing, rastreada bajo la Nota de SAP 3747649. Tiene una puntuación CVSS de 10.0, la calificación de severidad más alta posible.

El fallo afecta a múltiples versiones del kernel de SAP y del Web Dispatcher, incluyendo KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04 y de la 9.16 a la 9.20.

Un atacante remoto no autenticado podría potencialmente explotar el fallo de corrupción de memoria para comprometer la confidencialidad, integridad y disponibilidad. Si tu organización utiliza componentes afectados del kernel de SAP, deberías tratar esta actualización como una prioridad de parcheo de emergencia.

Otra vulnerabilidad crítica, la CVE-2026-58240, afecta al Servidor de Mensajes de SAP NetWeaver. La Nota de SAP 3759472 aborda una falta de comprobación de autenticación con una puntuación CVSS de 9.8. El problema afecta a las versiones de KERNEL 9.16, 9.18, 9.19 y 9.20.

Una explotación exitosa podría permitir que un atacante sin credenciales válidas acceda o interactúe con servicios expuestos, creando un riesgo grave para tus entornos de SAP.

Actualizaciones de Seguridad de SAP - Septiembre 2026

SAP también solucionó la CVE-2026-76969, una vulnerabilidad crítica de divulgación de credenciales en aplicaciones multitenant que utilizan la librería sap/cds-mtxs del SAP Cloud Application Programming Model.

El fallo tiene una puntuación CVSS de 9.4 y afecta a versiones hasta la 1.18.3, 2.7.6, 3.9.6 y 4.0.2. Si eres desarrollador o administrador de la nube, deberías actualizar las dependencias afectadas rápidamente, especialmente donde manejes datos de inquilinos y credenciales de aplicaciones.

Un cuarto problema crítico, el CVE-2026-66768, impacta a SAP GUI para Java en SAP NetWeaver. La vulnerabilidad de control de acceso inadecuado, corregida por la Nota de SAP 3781729, tiene una puntuación CVSS de 9.0. Afecta a BC-FES-JAV 8.10 y podría permitir que un atacante con pocos privilegios obtenga acceso no autorizado tras la interacción del usuario.

La publicación de septiembre también incluye correcciones de severidad alta, incluyendo la CVE-2026-76958, un fallo XXE calificado con 8.5 en SAP Integration Suite Trading Partner Management que podría exponer archivos sensibles, permitir solicitudes del lado del servidor o interrumpir el procesamiento XML.

SAP parcheó la deserialización insegura en SAP NetWeaver Business Client, la corrupción de memoria en SAP NetWeaver Application Server para ABAP y ABAP Platform, y la inyección CRLF en SAP Commerce Cloud Search and Navigation.

La empresa también lanzó una actualización para la CVE-2026-58243, un fallo de escalada de privilegios de severidad alta en SAP ABAP Developer Tools, abordado originalmente durante el Día del Parche de agosto de 2026.

Las correcciones de severidad media cubren inyección SQL, falsificación de solicitud del lado del servidor, clickjacking, falsificación de solicitud cross-site, divulgación de información, omisión de autorización y problemas de configuración de seguridad relacionados con Apache Log4j. SAP también parcheó un fallo de denegación de servicio de severidad baja en el SAP Process Integration SOAP Adapter.

Si eres administrador de SAP, deberías revisar todas las notas de seguridad relevantes en el Portal de Soporte de SAP, mapearlas con las versiones de producto desplegadas, probar los parches bajo procedimientos de control de cambios y aplicar las correcciones lo antes posible.

Los servicios de SAP orientados a Internet, las instancias del Servidor de Mensajes de NetWeaver, las dependencias de aplicaciones en la nube y los sistemas que procesan datos comerciales sensibles deberían recibir atención prioritaria.