SAP ha parcheado cuatro fallas críticas con puntuación CVSS 10.0 que permiten ejecución remota de código y acceso no autorizado sin necesidad de inicio de sesión en componentes como SAP NetWeaver y Web Dispatcher.

SAP corrige cuatro vulnerabilidades críticas con puntuación máxima de 10.0

En su actualización de seguridad de noviembre, SAP ha solucionado cuatro fallos graves con una puntuación CVSS de 10.0. Estas vulnerabilidades son especialmente peligrosas ya que permiten a los atacantes actuar sin necesidad de iniciar sesión ni requerir interacción alguna por parte del usuario.

El problema afecta principalmente al servidor de aplicaciones SAP NetWeaver y al Web Dispatcher. Entre los riesgos más críticos se encuentran:

• Ejecución remota de código: Fallos en Web Dispatcher e Internet Communication Manager (ICM) que podrían permitir a un agente externo ejecutar instrucciones en el sistema.
• Suplantación de identidad: Un error en el proveedor SAML2 podría permitir el acceso al sistema haciéndose pasar por cualquier usuario.
• Acciones no autorizadas: Una vulnerabilidad en SAP Gateway permitiría a un atacante simular ser un servidor interno para realizar operaciones prohibidas.

SAP ha publicado las soluciones correspondientes en su portal SAP for Me y recomienda aplicar estos parches de forma prioritaria.

Por otro lado, la firma de seguridad Onapsis ha advertido que los núcleos que ya no cuentan con mantenimiento también son vulnerables y, al no recibir parches oficiales, la única solución viable sería actualizar a una versión soportada. 

Cuatro fallas que los atacantes podrían explotar sin iniciar sesión se solucionaron como parte del día del parche de seguridad mensual de SAP de noviembre: el proveedor califica las cuatro con 10.0, la puntuación CVSS máxima.

Tres están en el servidor de aplicaciones SAP NetWeaver, el software en el que se ejecutan los sistemas SAP, y uno está en Web Dispatcher, que recibe solicitudes web de Internet y las pasa a ese servidor.

Las fallas en Web Dispatcher (CVE-2026-89126) y Internet Communication Manager (ICM), que maneja el tráfico web del servidor, podrían permitir que un atacante que pueda acceder al software a través de la red ejecute código, dice el proveedor.

La falla en el proveedor de servicios SAML2 (CVE-2026-120017) del servidor, que transfiere el inicio de sesión del usuario a un proveedor de identidad, podría permitir a un atacante iniciar sesión como cualquier usuario en algunos sistemas que utilizan el inicio de sesión único SAML.

La falla en SAP Gateway (CVE-2026-89103), que conecta el servidor con otros sistemas y programas de SAP, podría permitir que un atacante se haga pasar por uno de los propios servidores del sistema y realice acciones no autorizadas.

Ninguno de los cuatro requiere ninguna acción del usuario para funcionar.

Cada falla se soluciona en su propia nota y las versiones afectadas difieren según el componente, según el boletín de seguridad de SAP de noviembre. Las notas están en SAP for Me, lo que requiere un inicio de sesión, y el proveedor recomienda encarecidamente aplicarlas como prioridad.

Los kernels que no están en mantenimiento también se ven afectados, según Onapsis, cuyos investigadores encontraron fallas en ICM, Web Dispatcher y Gateway. Su aviso ICM2SHELL (ICM (CVE-2026-76964) enumera los núcleos 7.40, 7.41, 7.42, 7.45, 7.49, 7.73, 7.81, 7.85 y 7.89 para las fallas de ICM y Web Dispatcher, y su aviso PROXYGATE enumera los mismos núcleos más 7.20 y 7.21 para la falla de Gateway. Es posible que estos núcleos no obtengan una solución y necesiten una actualización a uno que aún se mantenga.  

Fuente: THN