Publicado por:Este martes (13), SAP liberó su tradicional paquete mensual de correcciones de seguridad — el SAP Security Patch Day de octubre. Y el ciclo repite un dato que merece la atención de los equipos de seguridad: por tercer mes consecutivo, una vulnerabilidad alcanzó la puntuación máxima del índice CVSS, 10.0, tras los registros de agosto y septiembre.
En total, el paquete de octubre entregó 16 nuevas Security Notes, 4 advisories de seguridad de GitHub y 2 actualizaciones de notas publicadas en meses anteriores. Entre estos elementos, 4 están clasificados como críticos (HotNews), lo que exige atención y prioridad por parte de los equipos de TI, Basis y Seguridad de la Información.
Una aclaración importante: la vulnerabilidad de CVSS 10.0 de este mes proviene de un advisory de GitHub, referente a una librería (el SAP Cloud SDK for Python), y no de una Security Note numerada de un sistema SAP instalado. Esto amplía el alcance de la verificación, como detallamos a continuación.
El panorama general de octubre de 2026
Considerando las nuevas notas, los advisories de GitHub y las actualizaciones, las 22 entradas de seguridad del mes se distribuyen de la siguiente manera:
- 4 vulnerabilidades Críticas (HotNews): CVSS entre 9.1 y 10.0 (3 notas y 1 advisory de GitHub)
- 3 notas de Alta Severidad: CVSS entre 7.1 y 8.8
- 14 notas de Media Severidad: CVSS entre 4.2 y 6.5
- 1 nota de Baja Severidad: CVSS 3.5
Dos enfoques ayudan a leer este ciclo. El primero es el alcance: 4 de las 22 entradas son advisories de GitHub, que tratan sobre librerías y herramientas de desarrollo (SAP Cloud SDK for Python, cla-assistant, yeoman-ui y la SAP/cloud-security-services-integration-library). Además de los sistemas SAP instalados, conviene revisar lo que utilizan los equipos de desarrollo en extensiones y aplicaciones personalizadas.
El segundo enfoque está en las notas de media severidad: 6 de ellas tratan sobre Cross-Site Scripting (XSS) y 3 afectan al SAP NetWeaver Enterprise Portal, lo que merece atención en las capas de interfaz y en los portales a los que acceden los usuarios.
Los 4 destacados críticos (HotNews) en foco
Las vulnerabilidades críticas de este mes afectan a componentes y librerías del ecosistema SAP. Es fundamental que los equipos técnicos realicen el mapeo de impacto para validar si los elementos listados están activos y expuestos en el landscape actual.
1. SSRF vía OAuth2 en el SAP Cloud SDK for Python (Advisory GHSA-4mv3-jxxm-9cx2 / CVE-2026-89111 — CVSS 10.0)
La vulnerabilidad de mayor severidad del mes —y el tercer CVSS 10.0 en tres meses seguidos— afecta a la librería SAP Cloud SDK for Python (versiones anteriores a la 0.45.2). Se trata de una falla de Server-Side Request Forgery (SSRF) vinculada al flujo OAuth2, que puede permitir que un agente malintencionado induzca a la aplicación a realizar solicitudes a destinos no previstos, incluidos recursos internos. Por ser una librería, no viene incluida en un sistema SAP: el punto de verificación es el inventario de dependencias de los proyectos Python que utilizan el SDK.
2. Broken Access Control en SAP NetWeaver Visual Composer (Nota #3797111 — CVSS 9.9)
Afecta al componente VC70RUNTIME de SAP NetWeaver Visual Composer (versión 7.50). La falla de control de acceso (Broken Access Control) puede permitir el acceso a funcionalidades o información sin los permisos debidos. Las empresas que mantienen Visual Composer activo en sus entornos NetWeaver deben validar, en primer lugar, si el componente está instalado y expuesto.
3. Code Injection en SAP S/4HANA — Manage Substitution/Validation Rules (Nota #3805589 — CVSS 9.9)
Vulnerabilidad de inyección de código en la aplicación de gestión de reglas de sustitución y validación de SAP S/4HANA, en un rango de versiones que abarca cinco releases (S4CORE 105 a 109). La explotación de la falla puede permitir la ejecución de código no autorizado en el sistema, con impacto potencial sobre un componente del núcleo del ERP.
4. Missing Authorization en SAP MII — Configuration Service (Nota #3798788 — CVSS 9.1)
Afecta al servicio de configuración de SAP Manufacturing Integration and Intelligence (MII) (XMII 15.4 y 15.5). La ausencia de verificación de autorización puede permitir la ejecución de operaciones sin los permisos debidos. Tras concentrar seis notas en agosto y una en septiembre, MII vuelve a aparecer en este ciclo, ahora con dos notas (una crítica y una de media severidad) — un punto de atención para las empresas con operaciones industriales integradas a SAP.
Alta severidad y otros puntos de atención
Además de las notas críticas, octubre trajo 3 notas de alta severidad que también requieren una planificación rápida:
- SQL Injection en SAP Commerce Cloud — OOTB Code (Nota #3800517 — CVSS 8.8): afecta a la versión COM_CLOUD 2211-JDK21.
- Corrupción de memoria en SAP NetWeaver y SAP Web Dispatcher — Internet Communication Manager (Nota #3765424 — CVSS 7.5): afecta a una amplia gama de versiones de Kernel, de la 7.53 a la 9.20.
- Missing Authorization en SAP ABAP Platform (Nota #3626303 — CVSS 7.1): afecta a las versiones de Kernel 7.93 y 9.16.
Entre las demás notas y actualizaciones del mes, vale la pena observar:
- Actualizaciones de notas anteriores: dos notas ya publicadas fueron revisadas — la #3689080 (SSRF en el Application Server ABAP, CVSS 6.4, originalmente del Patch Day de marzo de 2026) y la #3629325 (XSS en SAP NetWeaver ABAP Platform, CVSS 6.1, del Patch Day de septiembre de 2025). Quienes ya trataron estas notas deben revisar la versión republicada ahora.
- SAP NetWeaver Enterprise Portal: tres notas en el mismo ciclo — #3779985 (XSS, CVSS 6.1), #3790401 (Open Redirect, CVSS 6.1) y #3789825 (Information Disclosure, CVSS 5.3).
- Cross-Site Scripting: 6 notas en total, en SAP MII, NetWeaver ABAP Platform, Enterprise Portal, SAPUI5 (dos notas) y aplicaciones basadas en SAP GUI for HTML.
- Librerías y herramientas de desarrollo: además del Cloud SDK for Python, hay advisories para cla-assistant (CVSS 6.5), yeoman-ui (OS Command Injection, CVSS 5.9) y SAP/cloud-security-services-integration-library (Improper Authentication, CVSS 4.2).
Cómo planificar la actualización de su entorno SAP
La aplicación de correcciones en sistemas de misión crítica exige una planificación técnica rigurosa para mitigar riesgos de indisponibilidad.
Recomendamos que los equipos de Basis sigan un flujo estructurado:
- Mapeo de impacto: verificar qué componentes activos de su landscape están realmente expuestos a las notas de este mes (con atención redoblada a S/4HANA, Visual Composer, SAP MII y el Kernel) y relevar, junto con los equipos de desarrollo, las librerías y SDKs en uso, como el SAP Cloud SDK for Python.
- Validación de compatibilidad: asegurarse de que la aplicación de las notas no afectará a personalizaciones internas ni a integraciones.
- Ambientes de homologación: ejecutar todas las pruebas en ambientes de calidad (QAS) antes del transporte a producción.
El Grupo BravoIT | CloudBasis apoya a su empresa
Nuestro equipo de especialistas en SAP Basis acompaña los ciclos de seguridad en tiempo real. Ayudamos a su empresa a analizar el impacto real de estas vulnerabilidades en su landscape específico, conduciendo la aplicación de las notas técnicas en ventanas de mantenimiento controladas y seguras.
Garantice la estabilidad y la protección de su sistema de gestión. Hable hoy mismo con nuestros especialistas técnicos para una evaluación preventiva de su entorno.
