Actualizaciones de seguridad de SAP septiembre 2026: fallos críticos corregidos

SAP ha lanzado sus actualizaciones del Día del Parche de Seguridad de septiembre de 2026, que incluyen 19 nuevas notas de seguridad y una actualización de una nota previa. Estos parches corrigen vulnerabilidades en diversos productos empresariales, destacando SAP NetWeaver, SAP S/4HANA, SAP Commerce Cloud, SAP Integration Suite, entre otros.

SAP ha publicado sus actualizaciones del Día del Parche de Seguridad de septiembre de 2026, entregando 19 nuevas notas de seguridad y una actualización de una nota emitida previamente.

Los parches solucionan vulnerabilidades en SAP NetWeaver, SAP Extended Passport Processing, SAP Cloud Application Programming Model, SAP S/4HANA, SAP Integration Suite, SAP Commerce Cloud y otros productos empresariales.

El problema más grave es el CVE-2026-44756, una vulnerabilidad crítica de corrupción de memoria en SAP Extended Passport Processing, rastreada bajo la Nota de SAP 3747649. Tiene una puntuación CVSS de 10.0, la calificación de severidad más alta posible.

El fallo afecta a múltiples versiones del kernel de SAP y del Web Dispatcher, incluyendo KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04 y de la 9.16 a la 9.20.

Un atacante remoto no autenticado podría potencialmente explotar el fallo de corrupción de memoria para comprometer la confidencialidad, integridad y disponibilidad. Si tu organización utiliza componentes afectados del kernel de SAP, deberías tratar esta actualización como una prioridad de parcheo de emergencia.

Otra vulnerabilidad crítica, la CVE-2026-58240, afecta al Servidor de Mensajes de SAP NetWeaver. La Nota de SAP 3759472 aborda una falta de comprobación de autenticación con una puntuación CVSS de 9.8. El problema afecta a las versiones de KERNEL 9.16, 9.18, 9.19 y 9.20.

Una explotación exitosa podría permitir que un atacante sin credenciales válidas acceda o interactúe con servicios expuestos, creando un riesgo grave para tus entornos de SAP.

Actualizaciones de Seguridad de SAP - Septiembre 2026

SAP también solucionó la CVE-2026-76969, una vulnerabilidad crítica de divulgación de credenciales en aplicaciones multitenant que utilizan la librería sap/cds-mtxs del SAP Cloud Application Programming Model.

El fallo tiene una puntuación CVSS de 9.4 y afecta a versiones hasta la 1.18.3, 2.7.6, 3.9.6 y 4.0.2. Si eres desarrollador o administrador de la nube, deberías actualizar las dependencias afectadas rápidamente, especialmente donde manejes datos de inquilinos y credenciales de aplicaciones.

Un cuarto problema crítico, el CVE-2026-66768, impacta a SAP GUI para Java en SAP NetWeaver. La vulnerabilidad de control de acceso inadecuado, corregida por la Nota de SAP 3781729, tiene una puntuación CVSS de 9.0. Afecta a BC-FES-JAV 8.10 y podría permitir que un atacante con pocos privilegios obtenga acceso no autorizado tras la interacción del usuario.

La publicación de septiembre también incluye correcciones de severidad alta, incluyendo la CVE-2026-76958, un fallo XXE calificado con 8.5 en SAP Integration Suite Trading Partner Management que podría exponer archivos sensibles, permitir solicitudes del lado del servidor o interrumpir el procesamiento XML.

SAP parcheó la deserialización insegura en SAP NetWeaver Business Client, la corrupción de memoria en SAP NetWeaver Application Server para ABAP y ABAP Platform, y la inyección CRLF en SAP Commerce Cloud Search and Navigation.

La empresa también lanzó una actualización para la CVE-2026-58243, un fallo de escalada de privilegios de severidad alta en SAP ABAP Developer Tools, abordado originalmente durante el Día del Parche de agosto de 2026.

Nota SAP	CVE	Vulnerabilidad	Producto/versiones afectadas	Prioridad
3747649	CVE-2026-44756	Corrupción de memoria	SAP Extended Passport (EPP) Processing KRNL64NUC: 7.22, 7.22EXT; KRNL64UC: 7.22, 7.22EXT, 7.53, 8.04; WEBDISP: 9.16, 9.18, 9.19, 9.20; KERNEL: 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20	Crítica
3759472	CVE-2026-58240	Falta comprobación de autenticación	SAP NetWeaver Message Server KERNEL: 9.16, 9.18, 9.19, 9.20	Crítica
3798315	CVE-2026-76969	Divulgación de credenciales en aplicaciones CAP multitenant	Librería SAP CAP sap/cds-mtxs Versiones: ≤1.18.3, ≤2.7.6, ≤3.9.6, ≤4.0.2	Crítica
3781729	CVE-2026-66768	Control de acceso inadecuado	SAP NetWeaver SAP GUI para Java BC-FES-JAV: 8.10	Crítica
3772411	CVE-2026-58243	Escalada de privilegios — nota de agosto actualizada	SAP ABAP Developer Tools SAP_BASIS: 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 918, 920	Alta
3792978	CVE-2026-76958	Entidad Externa XML (XXE)	SAP Integration Suite Cloud Integration – Trading Partner Management V2: 2.9.2; B2B Integration Factory – Cloud Integration – Trading Partner Management: 1.10.0	Alta
3784138	CVE-2026-76967	Deserialización insegura	SAP NetWeaver Business Client BC-WD-CLT-BUS: 8.00, 8.10	Alta
3757002	CVE-2026-66767	Corrupción de memoria	SAP NetWeaver AS para ABAP y ABAP Platform KRNL64NUC: 7.22, 7.22EXT; KRNL64UC: 7.22, 7.22EXT, 7.53, 8.04; KERNEL: 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20	Alta
3791068	CVE-2026-2332	Inyección CRLF a través de componentes Jetty	SAP Commerce Cloud Search and Navigation COM_CLOUD: 2211, 2211-JDK21	Alta
3750721	CVE-2026-76968	Divulgación de información	SAP Web Dispatcher, Internet Communication Manager y SAP Content Server KRNL64NUC: 7.22, 7.22EXT; KRNL64UC: 7.22, 7.22EXT, 7.53; WEBDISP: 7.22_EXT, 7.53, 7.54, 7.77, 7.93, 9.16; CONTSERV: 7.53, 7.54; KERNEL: 7.22, 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.19, 9.20	Media
3756450	CVE-2026-44766	Inyección SQL	SAP S/4HANA Intercompany Matching and Reconciliation SAPSCORE: 136; S4CORE: 104, 105, 106, 107, 108, 109	Media
3786489	CVE-2026-76971	Falsificación de solicitud del lado del servidor (SSRF)	SAP Manufacturing Integration and Intelligence XMII: 15.4, 15.5	Media
3787345	CVE-2026-34477	Configuración de seguridad incorrecta debido a Apache Log4j	SAP Commerce Cloud Search and Navigation COM_CLOUD: 2211, 2211-JDK21	Media
3783189	CVE-2026-76977	Clickjacking	SAPUI5 Frame Options Allowlist SAP_UI: 750, 754, 755, 756, 757, 758, 816; UI_700: 200	Media
3365276	CVE-2026-76960	Falsificación de solicitud cross-site (CSRF)	SAP S/4HANA Finance for Advanced Payment Management S4CORE: 105, 106, 107	Media
3371336	CVE-2026-76961	Falsificación de solicitud cross-site (CSRF)	SAP S/4HANA Finance for Advanced Payment Management S4CORE: 108	Media
3365311	CVE-2026-76959	Falsificación de solicitud cross-site (CSRF)	SAP S/4HANA Finance for Advanced Payment Management UIAPFI70: 800, 900, 901, 902	Media
3657599	CVE-2026-76962	Falta comprobación de autorización	App SAP S/4HANA Manage Bank Chains S4CORE: 107, 108, 109	Media
3772838	CVE-2026-76963	Falta comprobación de autorización	SAP NetWeaver y ABAP Platform SAP_BASIS: 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758	Media
3736494	CVE-2026-58234	Denegación de servicio	SAP Process Integration SOAP Adapter MESSAGING: 7.50; SAP_XIAF: 7.50	Baja

Las correcciones de severidad media cubren inyección SQL, falsificación de solicitud del lado del servidor, clickjacking, falsificación de solicitud cross-site, divulgación de información, omisión de autorización y problemas de configuración de seguridad relacionados con Apache Log4j. SAP también parcheó un fallo de denegación de servicio de severidad baja en el SAP Process Integration SOAP Adapter.

Si eres administrador de SAP, deberías revisar todas las notas de seguridad relevantes en el Portal de Soporte de SAP, mapearlas con las versiones de producto desplegadas, probar los parches bajo procedimientos de control de cambios y aplicar las correcciones lo antes posible.

Los servicios de SAP orientados a Internet, las instancias del Servidor de Mensajes de NetWeaver, las dependencias de aplicaciones en la nube y los sistemas que procesan datos comerciales sensibles deberían recibir atención prioritaria.

Fuentes:
https://cybersecuritynews.com/sap-security-updates-september-2026/