SAP anunció la publicación de 22 notas de seguridad nuevas y actualizadas como parte del día de parches de seguridad de octubre de 2026, entre ellas cuatro vulnerabilidades clasificadas como críticas en Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA y Manufacturing Integration and Intelligence. La empresa no mencionó la explotación de estos fallos en ataques reales, pero recomendó a los usuarios actualizar las aplicaciones lo antes posible.
Vulnerabilidades que podrían conducir a un compromiso total
La vulnerabilidad de mayor gravedad tiene el identificador CVE-2026-89111 y una puntuación CVSS de 10 sobre 10. Se trata de una vulnerabilidad SSRF relacionada con OAuth2 en Cloud SDK for Python, que afecta a aplicaciones BTP multiinquilino. Según el aviso de SAP publicado en GitHub, un atacante que controle el parámetro tenant_subdomain puede redirigir las solicitudes de tokens OAuth2 a un servidor bajo su control, lo que podría provocar la filtración de credenciales de clientes.
En cuanto a CVE-2026-89110, su puntuación es de 9,9 sobre 10 y está relacionada con un fallo en el control de acceso dentro de determinadas funciones de NetWeaver Visual Composer. La empresa de seguridad de aplicaciones empresariales Onapsis afirmó que un atacante con pocos privilegios podría ser capaz de invocar operaciones internas en un sistema remoto previamente configurado, lo que podría terminar en el control total del sistema.
SAP también corrige CVE-2026-89107 en S/4HANA, con una puntuación de 9,9 sobre 10. En determinadas condiciones, el fallo permite que un atacante autenticado que posea un rol empresarial específico en aplicaciones Fiori envíe entradas especialmente diseñadas para ejecutar código ABAP arbitrario. El defecto se debe a una validación inadecuada de las entradas durante el proceso de definición de reglas.
CVE-2026-89108 tiene una puntuación de 9,1 sobre 10 y se debe a la ausencia de una comprobación de autorización en Manufacturing Integration and Intelligence. Un atacante con permisos de XMII Admin puede crear una cuenta administrativa en el servidor de aplicaciones Java subyacente, lo que permite comprometer por completo el sistema.
¿Qué cambia en la práctica?
Este conjunto combina distintos riesgos: filtración de credenciales mediante solicitudes OAuth2, elusión de controles de acceso, inyección de código ABAP y creación de cuentas administrativas. Por ello, su impacto no se limita a un componente aislado, sino que puede extenderse a los sistemas empresariales de SAP y a las operaciones que dependen de ellos, según los productos, las configuraciones y los roles disponibles para el atacante.
SAP también corrigió vulnerabilidades de gravedad alta en Commerce Cloud, NetWeaver y ABAP Platform, que podrían haber permitido la inyección de comandos SQL arbitrarios, provocar la interrupción de un proceso o eludir restricciones de seguridad. La fuente no especifica las versiones de los productos afectados ni fechas independientes para las actualizaciones, y tampoco demuestra la existencia de una explotación activa de las vulnerabilidades hasta la fecha de publicación.
Qué deberían revisar los usuarios
Los equipos de administración de SAP deberían revisar las notas de seguridad de SAP de octubre de 2026, identificar los componentes desplegados realmente y aplicar las actualizaciones correspondientes conforme a los procedimientos de cambio aprobados. Las vulnerabilidades también requieren revisar los permisos de los roles, especialmente los relacionados con Fiori y XMII, y verificar la configuración de las aplicaciones multiinquilino. La prioridad de la corrección sigue estando vinculada al nivel de exposición de cada entorno, ya que la fuente no indica que todos los despliegues sean explotables de la misma manera.