SAP Security Patch Day de noviembre de 2026 trae 9 notas críticas

Este martes 10 de noviembre, SAP publicó su tradicional paquete mensual de correcciones de seguridad: el SAP Security Patch Day de noviembre. Por cuarto mes consecutivo, vulnerabilidades alcanzaron la puntuación máxima del índice CVSS, 10.0.

En total, el paquete entregó 35 nuevas Security Notes, 4 advisories de seguridad de GitHub y 3 actualizaciones de notas publicadas anteriormente. Entre estos ítems, 9 están clasificados como críticos (HotNews), frente a 4 en los ciclos de septiembre y octubre. Esto exige atención y prioridad de los equipos de TI, Basis y Seguridad de la Información.

El panorama general de noviembre de 2026

Considerando las notas nuevas, los advisories de GitHub y las actualizaciones, las 42 entradas de seguridad del mes se distribuyen así:

• 9 notas críticas (HotNews): CVSS entre 9.1 y 10.0, de las cuales 4 tienen CVSS 10.0
• 17 de severidad alta: CVSS entre 7.1 y 8.9 (incluidos los 4 advisories de GitHub)
• 15 de severidad media: CVSS entre 4.1 y 6.5 (incluidas 3 actualizaciones de notas)
• 1 de severidad baja: CVSS 3.1

Tres lecturas ayudan a entender este ciclo:

• El Kernel está en el centro del mes. 17 de las 42 entradas incluyen versiones de Kernel (KERNEL/KRNL64) entre las afectadas, entre ellas 5 de las 9 críticas. Web Dispatcher e Internet Communication Manager (ICM) aparecen en 7 notas, y el SAP Message Server en 3.
• La corrupción de memoria es el tipo más frecuente. Son 7 notas de Memory Corruption, en ICM, Web Dispatcher, Message Server, Internet Graphics Service (IGS) y Application Server ABAP. Además, hay 4 notas de Denial of Service (DoS).
• Las bibliotecas de desarrollo siguen en el radar. 3 de los 4 advisories de GitHub corresponden al SAP Cloud SDK (Python y AI/JavaScript), lo que refuerza la importancia de inventariar las dependencias de las aplicaciones y extensiones personalizadas.

Las 9 notas críticas (HotNews) en detalle

Para cada nota, el primer paso es validar si el componente está activo y expuesto en su landscape.

CVSS 10.0

1. Corrupción de memoria en SAP NetWeaver AS ABAP, Internet Communication Manager (Nota #3778530, CVE-2026-76964, CVSS 10.0)
Falla de Memory Corruption en el ICM. Afecta las versiones de Kernel 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 y 9.20.

2. Corrupción de memoria en SAP Web Dispatcher (Nota #3778556, CVE-2026-89126, CVSS 10.0)
Falla de Memory Corruption en el Web Dispatcher. La nota lista Kernel de 7.53 a 9.20, además de HDB 2.00, XS_ADVANCED_RUNTIME 1.00 y SAP_EXTENDED_APP_SERVICES 1.

3. Broken Access Control en SAP Gateway (Nota #3798345, CVE-2026-89103, CVSS 10.0)
Falla de control de acceso en SAP Gateway, con una amplia gama de versiones de Kernel afectadas, de 7.22 a 9.21.

4. Missing Authentication en el SAML2 Service Provider de SAP NetWeaver AS ABAP y ABAP Platform (Nota #3849308, CVE-2026-120017, CVSS 10.0)
Ausencia de autenticación en el SAML2 Service Provider, que afecta de SAP_BASIS 702 a 922. Es la única de las cuatro notas con CVSS 10.0 que no es de Kernel. Conviene verificar si el SAML2 Service Provider está en uso en su ambiente.

CVSS 9.9

5. Code Injection en SAP NetWeaver Knowledge Management, XML Forms (Nota #3809153, CVE-2026-109803, CVSS 9.9)
Afecta el componente KMC-CM 7.50. Vale confirmar si Knowledge Management está activo en el ambiente.

6. OS Command Injection en el ABAP Application Server (Nota #3792735, CVE-2026-76965, CVSS 9.9)
Falla de inyección de comandos del sistema operativo en el Application Server ABAP. Afecta Kernel 7.22 a 9.16.

7. Missing Authorization Check en S4CRM (Nota #3834842, CVE-2026-109795, CVSS 9.9)
Afecta S4CRM 204, 205 y 206, S4CEXT 107, 108 y 109, y BBPCRM 713 y 714. Quienes utilicen estos componentes deben revisar la nota.

CVSS 9.6 y 9.1

8. Cross-Site Request Forgery en SAP Web Dispatcher e ICM (Nota #3804858, CVE-2026-89119 y CVE-2026-120014, CVSS 9.6)
Nota con dos CVE, que afecta Web Dispatcher 7.93 y 9.16 y Kernel 7.93, 9.16, 9.20 y 9.21.

9. XML External Entity (XXE) en SAP BusinessObjects BI Platform, Web Intelligence (Nota #3799117, CVE-2026-109798, CVSS 9.1)
Afecta las versiones ENTERPRISE 430, 2025 y 2027.

Severidad alta: puntos de atención

Noviembre trajo 17 notas de severidad alta. Entre los puntos destacados:

• Múltiples vulnerabilidades en el Application Server ABAP (Nota #3769130, CVE-2026-76966 y CVE-2026-109796, CVSS 8.9): la de mayor CVSS de este grupo, con Kernel de 7.22 a 9.20.
• SAP NetWeaver IGS (Notas #3809953, CVSS 8.2, y #3809934, CVSS 7.5): el Internet Graphics Service recibe dos notas en el mismo ciclo, una de Memory Corruption y otra con múltiples vulnerabilidades (CVE-2026-109806 y CVE-2026-109807).
• Memory Corruption en SAP Web Dispatcher (Nota #3803832, CVSS 7.7).
• SAP Message Server (Notas #3805570, #3789273 y #3808552, CVSS 7.5): dos de Memory Corruption y una de Information Disclosure.
• Memory Corruption en el Application Server ABAP (Nota #3792915, CVSS 7.5).
• DoS en ICM y Web Dispatcher (Notas #3808627 y #3805681, CVSS 7.5).
• Missing Authentication en SAP NetWeaver AS Java EDM Application (Nota #3810485, CVSS 7.5).
• Insufficient Input Validation en SAP Host Agent (Nota #3842766, CVSS 7.5): afecta SAPHOSTAGENT 7.22.
• Code Injection en SAP ABAP Developer Tools, AMDP Data Preview (Nota #3833364, CVSS 7.2).

Advisories de GitHub: bibliotecas y herramientas

Los 4 advisories de GitHub también son de severidad alta y requieren verificación en los proyectos de desarrollo, no en los sistemas instalados:

• SAP Cloud SDK for Python, JWT (GHSA-93m8-crj2-v997, CVE-2026-109799, CVSS 7.5): verificación inadecuada de la firma JWT en IASContextProvider, que permite la suplantación de identidad de tenant y usuario. Afecta versiones anteriores a 0.63.1.
• SAP Cloud SDK for Python, Path Traversal (GHSA-28c8-457r-4cf6, CVE-2026-120013, CVSS 7.5): en el módulo Agent Memory, en versiones anteriores a 0.50.0.
• SAP Cloud SDK for AI, JavaScript (GHSA-8g7j-49xg-8wf3, CVE-2026-120012, CVSS 7.5): Information Disclosure en versiones hasta la v2.17.0.
• SAP/astonish (GHSA-93c9-96j8-4vg9, CVE-2026-109797, CVSS 7.1): toma de control de sandbox entre tenants (cross-tenant), en versiones anteriores a v3.6.0.

Severidad media y baja, y actualizaciones

Entre las 15 notas de severidad media y la nota de severidad baja, vale destacar:

• ABAP y Kernel: DoS en SAP NetWeaver Application Server for ABAP (#3793716, CVSS 6.5), SSRF en el Application Server ABAP (#3805959, CVSS 6.5, de SAP_BASIS 700 a 921) y Weak Cryptography (#3786876, CVSS 6.4).
• SAP NetWeaver AS Java: NWDI Cockpit (#3839977, dos CVE, CVSS 6.5), CSS Injection en Web Dynpro Java (#3797108, CVSS 6.1) y SSRF en Web Services (#3835738, CVSS 5.8).
• Capa de interfaz y portales: XSS en Visual Composer (#3806484, CVSS 6.1) y CSRF en Enterprise Portal (#3801587, CVSS 4.3).
• Web Dispatcher e ICM: Insecure Storage of Sensitive Information (#3782056, CVSS 6.0).
• Otras: Broken Access Control en el Process Integration Test Tool (#3792447, CVSS 5.3), DoS en SAP BusinessObjects (#3803144, CVSS 4.4) e Information Disclosure en SAP Start Service y SAP Microsoft Management Console (#3740168, CVSS 4.4).
• Severidad baja: Missing Authorization Check en SAP Solution Tools Plug-In, ST-PI (#3802244, CVSS 3.1).

Actualizaciones de notas anteriores: tres notas ya publicadas fueron revisadas. Quienes ya las trataron deben verificar la versión republicada:

• #3671819 (XSS en aplicaciones basadas en SAP GUI for HTML, CVSS 5.4), del Patch Day de octubre de 2026.
• #3155685 (Security misconfiguration en SAP WebClient UI, CVSS 4.1), del Patch Day de julio de 2026.
• #3101986 (preparación de soporte para CSP en SAP WebClient UI, CVSS 4.1), originalmente del Patch Day de abril de 2022.

Cómo planificar la actualización de su ambiente SAP

La aplicación de correcciones en sistemas de misión crítica exige una planificación técnica rigurosa para mitigar riesgos de indisponibilidad.

Recomendamos que los equipos de Basis sigan un flujo estructurado:

1. Mapeo de impacto: verificar qué componentes activos de su landscape figuran efectivamente en las notas de este mes, con especial atención al Kernel (ICM, Web Dispatcher, Message Server, Gateway), al SAML2 Service Provider y al SAP Host Agent. Relevar también, junto con los equipos de desarrollo, las bibliotecas en uso, como el SAP Cloud SDK.
2. Priorización: comenzar por las notas críticas de los componentes que están en uso y son accesibles desde redes externas o menos confiables.
3. Validación de compatibilidad: como muchas notas listan versiones de Kernel, confirme la versión en uso en sus sistemas y planifique la ventana de mantenimiento con anticipación, asegurándose de que las correcciones no afecten personalizaciones internas ni integraciones.
4. Ambientes de homologación: ejecutar todas las pruebas en ambientes de calidad (QAS) antes de transportar a producción.

Grupo BravoIT | CloudBasis apoya a su empresa

Nuestro equipo de especialistas en SAP Basis acompaña los ciclos de seguridad en tiempo real. Ayudamos a su empresa a analizar el impacto real de estas vulnerabilidades en su landscape específico, conduciendo la aplicación de las notas técnicas en ventanas de mantenimiento controladas y seguras.

Garantice la estabilidad y la protección de su sistema de gestión. Hable hoy mismo con nuestros especialistas técnicos para una evaluación preventiva de su ambiente.