SAP advierte de una vulnerabilidad SSRF OAuth2 de máxima gravedad

SAP ha resuelto 20 vulnerabilidades de seguridad en distintos productos como parte de sus actualizaciones de octubre de 2026. Entre ellas destaca una falla de máxima severidad en el SDK de Cloud para Python, la herramienta oficial de desarrollo de agentes de IA y aplicaciones Python sobre los servicios de la Plataforma de Tecnología Empresarial (BTP) de SAP.

La vulnerabilidad, identificada como CVE-2026-89111, puede ser explotada por atacantes remotos sin privilegios para robar credenciales. Los clientes que no puedan aplicar de inmediato los parches de octubre de 2026 pueden mitigar el problema temporalmente mediante una lista de permitidos que valide los valores de tenant_subdomain.

"El SDK de Cloud para Python de SAP contiene una vulnerabilidad SSRF en OAuth2 que afecta a aplicaciones BTP multiinquilino. Un atacante que controle el parámetro tenant_subdomain puede redirigir las solicitudes de token OAuth2 a un servidor bajo su control, provocando la exfiltración de las credenciales del cliente", señala un aviso publicado el martes. "Las aplicaciones consumidoras pueden mitigar la vulnerabilidad validando tenant_subdomain contra una lista de permitidos de subdominios de inquilinos registrados antes de pasarlo a cualquier llamada del SDK".

SAP también ha corregido CVE-2026-89110, una vulnerabilidad crítica de control de acceso roto en SAP NetWeaver Visual Composer que podría permitir a atacantes remotos con privilegios limitados comprometer por completo los sistemas afectados.

Otro fallo crítico parcheado hoy en SAP Manufacturing Integration and Intelligence (CVE-2026-89108) permite a actores de amenazas con privilegios de administrador obtener control administrativo sobre el sistema subyacente mediante el aprovisionamiento de una cuenta con privilegios elevados en la aplicación Java subyacente.

En meses recientes, SAP ha corregido otras vulnerabilidades de máxima severidad en diversos componentes. En agosto parcheó CVE-2026-58231 en la plataforma de comercio electrónico en la nube Commerce Cloud, que la firma de inteligencia de amenazas Defused señaló como explotada activamente en ataques días después de su corrección. Más recientemente, en septiembre, también solucionó el fallo de corrupción de memoria CVE-2026-44756 en el código del kernel de SAP, bautizado como OVERPASS por los investigadores de seguridad de Onapsis que lo reportaron. Según las estimaciones de Onapsis en ese momento, más de 10.000 sistemas SAP expuestos a Internet utilizan el componente vulnerable y podrían estar expuestos a ataques que exploten CVE-2026-44756.

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) ha añadido 14 fallos de seguridad de SAP a su catálogo de vulnerabilidades explotadas activamente desde noviembre de 2021, tres de los cuales fueron utilizados en ataques de ransomware.

SAP es una empresa multinacional alemana de software que presta servicio a 99 de las 100 mayores compañías del mundo y registró ingresos superiores a 36.000 millones de euros en el ejercicio fiscal de 2025.

Construya su plan de seguridad para ataques impulsados por IA

Únase a Mikko Hyppönen y a líderes de seguridad de la NFL, CHANEL y Atlassian en una cumbre digital de dos horas sobre qué cambian los ataques a velocidad de IA, qué deberían dejar de hacer los defensores y cómo validar, decidir, corregir y revalidar a velocidad de máquina.