El gigante del software SAP ha lanzado un paquete de actualizaciones de seguridad para noviembre de 2026, que aborda 35 vulnerabilidades de seguridad diferentes en sus sistemas. Este paquete incluye la corrección de cuatro vulnerabilidades extremadamente críticas que reciben la puntuación máxima en la escala de severidad de vulnerabilidades (CVSS).
Las cuatro vulnerabilidades de criticidad máxima afectan a componentes clave en la arquitectura de la empresa, específicamente a los sistemas NetWeaver, Web Dispatcher y Gateway. La empresa ha abordado dos vulnerabilidades en el servidor de aplicaciones NetWeaver para ABAP relacionadas con la corrupción de memoria y la falta de autenticación, además de una vulnerabilidad de ruptura de control de acceso en la puerta de enlace SAP Gateway y otra vulnerabilidad de corrupción de memoria en el componente Web Dispatcher.
Naturaleza de la amenaza y vulnerabilidades descubiertas
La empresa de ciberseguridad Onapsis, que descubrió e informó de tres de estas vulnerabilidades, rastreó dos vulnerabilidades bajo el nombre ICM2SHELL y la tercera bajo el nombre PROXYGATE. La vulnerabilidad ICM2SHELL permite a los atacantes explotar el tráfico normal de un punto de entrada y la ejecución remota de código sin necesidad de un nombre de usuario, contraseña o cualquier interacción humana.
Por su parte, la vulnerabilidad PROXYGATE funciona engañando a la puerta de enlace SAP Gateway para que crea que un atacante externo no autenticado es uno de los servidores de aplicaciones internos, lo que otorga al atacante el control total del sistema SAP con los privilegios de la cuenta propietaria del proceso de instalación, poniendo en riesgo directo los datos comerciales, la integridad de las transacciones y la disponibilidad de las aplicaciones.
¿Qué cambia en la práctica?
Estas actualizaciones indican el esfuerzo continuo de la empresa por abordar vulnerabilidades graves en los componentes básicos de la infraestructura empresarial. Cabe señalar que la Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos (CISA) ya ha documentado varias vulnerabilidades de SAP que han sido explotadas activamente en ataques, lo que hace que la aplicación inmediata de estos parches sea una necesidad extrema para las organizaciones que dependen de estos sistemas para gestionar sus operaciones y transacciones comerciales sensibles.