SAP ha publicado sus actualizaciones de seguridad de octubre de 2026 para corregir fallos de seguridad en la nube, control de acceso e inyección de código de nivel crítico, además de un problema de corrupción de memoria de severidad alta. Esta versión, lanzada el 13 de octubre, incluye 16 nuevas notas de seguridad y cuatro avisos de GitHub, destacando cuatro entradas con calificación crítica que hacen que este ciclo de parches sea fundamental para los equipos técnicos.

SAP ha lanzado sus actualizaciones de seguridad de octubre de 2026, corrigiendo fallos críticos de inyección de código, control de acceso y seguridad en la nube, junto con un problema de corrupción de memoria de severidad alta.

El lanzamiento del 13 de octubre incluye 16 nuevas notas de seguridad, cuatro avisos de seguridad de GitHub y dos actualizaciones de notas anteriores. Cuatro entradas tienen calificaciones críticas, lo que hace que este ciclo de parches sea importante para los equipos que gestionan sistemas empresariales de SAP.

Según el boletín del Día del Parche de octubre de SAP, las correcciones cubren S/4HANA, NetWeaver, Web Dispatcher, Commerce Cloud y varias librerías de desarrollo.

Aunque el titular destaca vulnerabilidades críticas, el fallo de corrupción de memoria está calificado como "Alto", no "Crítico". Su impacto publicado se refiere a la interrupción del servicio más que a una ejecución de código confirmada o al robo de datos.

En las 22 entradas, SAP enumera cuatro problemas críticos, tres altos, 14 medios y uno de severidad baja, incluyendo las dos notas actualizadas y los cuatro avisos de librerías.

Vulnerabilidades de Seguridad de SAP

El CVE-2026-89107 tiene una puntuación CVSS de 9.9 y afecta a la función de Gestión de Reglas de Sustitución/Validación en SAP S/4HANA. SAP indica que las versiones S4CORE 105, 106, 107, 108 y 109 están afectadas, y la corrección se entrega a través de la Nota de Seguridad 3805589.

La debilidad reside en cómo la función de definición de reglas verifica la entrada escrita en un lenguaje de scripting utilizado para reglas de negocio. Un atacante autenticado con privilegios comerciales específicos puede enviar una entrada manipulada que el sistema trata como código ABAP ejecutable, el lenguaje de programación de SAP.

Una explotación exitosa podría darle a un atacante un control amplio sobre el sistema afectado, con efectos graves en la privacidad de los datos, la precisión de la información y la disponibilidad del servicio. El ataque requiere una cuenta con permisos comerciales adecuados, pero el vector CVSS publicado indica una baja complejidad de ataque y que no es necesaria la interacción de otro usuario.

El CVE-2026-58249 afecta al componente Internet Communication Manager en SAP NetWeaver y SAP Web Dispatcher. Calificado con un 7.5, el fallo se soluciona con la Nota de Seguridad 3765424. Un atacante remoto no necesita autenticarse antes de enviar una solicitud maliciosa.

El software afectado no verifica correctamente ciertos campos en solicitudes manipuladas gestionadas por un componente de protocolo interno. Esto puede provocar un error de gestión de memoria y hacer que el proceso afectado se bloquee. La descripción publicada informa un alto impacto en la disponibilidad, sin impacto en la confidencialidad o integridad.

La lista de versiones afectadas de SAP abarca HDB 2.00, múltiples versiones de kernel y Web Dispatcher, Content Server, XS Advanced Runtime y SAP Extended Application Services.

Deberías comparar los componentes instalados con la lista completa del proveedor en lugar de asumir que cada despliegue necesita el mismo paquete de actualización.

El problema con la calificación más alta es el CVE-2026-89111, un fallo de falsificación de solicitud del lado del servidor (SSRF) de OAuth2 en SAP Cloud SDK para Python, con una puntuación de 10.0. Afecta a versiones anteriores a la 0.45.2.

En aplicaciones que sirven a múltiples inquilinos en SAP Business Technology Platform, un atacante que controle el parámetro tenant_subdomain puede redirigir las solicitudes de tokens a un servidor controlado por el atacante y exponer las credenciales del cliente.

SAP también corrigió el CVE-2026-89110, un fallo de control de acceso roto en NetWeaver Visual Composer VC70RUNTIME 7.50, calificado con 9.9. Otro problema crítico, el CVE-2026-89108, se refiere a una falta de verificación de autorización en el Servicio de Configuración de Manufacturing Integration and Intelligence versiones 15.4 y 15.5, con una puntuación de 9.1.

Informes anteriores sobre la vulnerabilidad de día cero de SAP NetWeaver explotada en entornos reales mostraron cómo las debilidades de Visual Composer se convirtieron en una ruta de entrada a las redes empresariales.

También se cubrió la advertencia de CISA sobre el fallo explotado de SAP. Esos informes se refieren al CVE-2025-31324, no hay evidencia de que estas vulnerabilidades recién reveladas estén siendo explotadas.

SAP insta a sus clientes a aplicar los parches como prioridad. Deberías identificar los productos afectados, leer las notas de seguridad pertinentes y planificar las actualizaciones según las necesidades del negocio.

Los usuarios de Cloud SDK deberían migrar a la versión 0.45.2 o posterior y verificar qué aplicaciones utilizan la librería afectada. El lanzamiento también soluciona la inyección SQL en Commerce Cloud, brechas de autorización en ABAP Platform y varios fallos de cross-site scripting.

Las dos notas revisadas cubren problemas anteriores de SSRF y scripting. Estas actualizaciones deben seguir formando parte de la revisión de parches, incluso cuando las correcciones críticas tengan prioridad.