SAP, parches de octubre de 2026: SSRF OAuth2 CVSS 10 en Cloud SDK

El martes 13 de octubre de 2026 SAP publicó su Security Patch Day mensual. El caso más grave es CVE-2026-89111, una vulnerabilidad de tipo SSRF (Server-Side Request Forgery) en la gestión de los tokens OAuth2 de SAP Cloud SDK para Python, con una puntuación CVSS de 10, la máxima. Junto a ella SAP corrigió otras tres vulnerabilidades críticas, en NetWeaver Visual Composer, S/4HANA y Manufacturing Integration and Intelligence (MII).

Las fuentes no coinciden en el recuento total: SecurityWeek habla de 22 notas de seguridad nuevas o actualizadas, cuatro de ellas críticas, mientras que BleepingComputer informa de 20 vulnerabilidades corregidas. La diferencia puede deberse a que una nota no siempre corresponde a una sola vulnerabilidad. El mismo día el Canadian Centre for Cyber Security publicó el aviso AV26-1030 con la lista de productos y versiones afectados.

Qué ha pasado

Según SecurityWeek, que cita el aviso publicado por SAP en GitHub, CVE-2026-89111 afecta a las aplicaciones multi-tenant en SAP Business Technology Platform (BTP) creadas con Cloud SDK para Python. Un atacante que controla el parámetro tenant_subdomain puede desviar las solicitudes de tokens OAuth2 hacia un servidor bajo su control: así la aplicación le entrega sus propias credenciales de cliente (client ID y secreto). Con esas credenciales el atacante puede pedir tokens en nombre de la aplicación.

Según SecurityWeek, SAP no informa de explotación activa de ninguna de las vulnerabilidades corregidas en este ciclo.

Detalles técnicos

Las vulnerabilidades críticas, con los datos de SecurityWeek (que para tres de ellas cita a la empresa de seguridad Onapsis) y las versiones indicadas por el Canadian Centre:

• CVE-2026-89111 (CVSS 10), SSRF OAuth2 en Cloud SDK para Python. Afecta a las aplicaciones BTP multi-tenant; el Canadian Centre indica como vulnerables las versiones de SAP Cloud SDK anteriores a la 0.45.2.
• CVE-2026-89110 (CVSS 9.9), control de acceso incorrecto en algunas funciones del portal de NetWeaver Visual Composer (VC70RUNTIME 7.50). Según Onapsis, un atacante con pocos privilegios puede invocar operaciones internas en un sistema remoto ya configurado y comprometerlo por completo.
• CVE-2026-89107 (CVSS 9.9), inyección de código en S/4HANA, en la función Manage Substitution/Validation Rules (S4CORE 105, 106, 107, 108 y 109). El proceso de definición de reglas no valida la entrada: un usuario autenticado con un determinado rol de negocio en las aplicaciones Fiori puede enviar datos manipulados y ejecutar código ABAP arbitrario, hasta tomar el control del sistema.
• CVE-2026-89108 (CVSS 9.1), falta de control de autorización en Manufacturing Integration and Intelligence (Configuration Service, versiones 15.5 y XMII 15.4). Quien tiene privilegios XMII Admin puede crear una cuenta de administrador en el servidor de aplicaciones Java subyacente y comprometer el sistema.

Entre las vulnerabilidades de gravedad alta, SecurityWeek cita fallos en Commerce Cloud, NetWeaver y ABAP Platform que permiten inyección SQL, la caída de procesos y la elusión de restricciones, sin indicar los códigos CVE. El Canadian Centre incluye además entre los productos afectados:

• SAP Commerce Cloud (OOTB Code), versión COM_CLOUD 2211-JDK21;
• SAP NetWeaver y SAP Web Dispatcher (Internet Communication Manager), versiones HDB 2.00, KRNL64UC 7.53, WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1, CONTSERV 7.53, 7.54, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.19 y 9.20.

En términos de MITRE ATT&CK, la explotación de aplicaciones accesibles desde el exterior corresponde en general a T1190 (Exploit Public-Facing Application), el uso de las credenciales de cliente robadas a T1078.004 (Valid Accounts: Cloud Accounts) y la creación de un administrador en MII a T1136 (Create Account). Las fuentes disponibles no aportan indicadores de compromiso.

Impacto para las empresas europeas e italianas

SAP es el núcleo de gestión de muchas empresas industriales, de distribución y sanitarias. Tres de las cuatro vulnerabilidades críticas requieren un acceso inicial, aunque sea con pocos privilegios: el mayor riesgo viene, por tanto, de cuentas internas comprometidas o de usuarios con roles más amplios de lo necesario. CVE-2026-89111 es distinta: afecta al código de las aplicaciones desarrolladas en BTP y, por tanto, a quien desarrolla extensiones o servicios multi-tenant, también a través de proveedores externos.

Para las entidades sujetas a NIS2 (en Italia, el Decreto Legislativo 138/2024), la gestión de vulnerabilidades y la seguridad de la cadena de suministro forman parte de las medidas exigidas: conviene preguntar a los proveedores que desarrollan aplicaciones BTP si usan Cloud SDK para Python y cuándo lo actualizarán. Un posible robo de credenciales de cliente debe evaluarse para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN.

Qué hacer ahora

1. Busca Cloud SDK para Python en las dependencias de tus aplicaciones BTP, incluidas las desarrolladas por terceros, y actualízalo a la 0.45.2 o posterior, comprobando la versión correcta en el aviso de SAP. Después recompila y vuelve a desplegar las aplicaciones.
2. Valora la rotación de los secretos de los clientes OAuth2 que usan las aplicaciones multi-tenant expuestas, si no puedes descartar que se robaran antes de la actualización.
3. Revisa los registros de las aplicaciones y del tráfico saliente: las solicitudes de tokens hacia hosts distintos del servicio de autenticación previsto son una señal que hay que investigar.
4. Aplica las notas de octubre a NetWeaver Visual Composer, S/4HANA (S4CORE 105–109) y MII, y luego a Commerce Cloud, al kernel de NetWeaver y a Web Dispatcher, empezando por los sistemas accesibles desde Internet.
5. Reduce los privilegios mientras llegan los parches: revisa quién tiene el rol para definir reglas de sustitución y validación en S/4HANA y quién tiene privilegios XMII Admin en MII.
6. Revisa las cuentas de administrador de los servidores de aplicaciones Java que alojan MII, buscando usuarios creados recientemente y no previstos.

Cómo ayuda ARXDOME

ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete en las máquinas supervisadas, y su antigüedad: te ayuda a seguir los sistemas que aún hay que actualizar. ARX Expose muestra qué servicios expone tu empresa en Internet y qué productos se reconocen en ellos, útil para saber si un Web Dispatcher o un portal SAP es accesible desde fuera. ARX Sentry, en las páginas del SOC dedicadas a las identidades, muestra los accesos privilegiados y los cambios en las cuentas.

Última actualización: 14 de octubre de 2026