Vulnerabilidad OVERPASS en el kernel de SAP
SAP ha publicado sus actualizaciones de seguridad correspondientes a septiembre de 2026, con el objetivo de abordar un total de 20 vulnerabilidades que afectan a varios de sus productos. Entre ellas, destaca una falla de corrupción de memoria calificada con la severidad máxima en el código del kernel de SAP. Esta vulnerabilidad, identificada como CVE-2026-44756 y denominada OVERPASS por los investigadores de Onapsis que la reportaron, se origina en una debilidad clásica de desbordamiento de búfer en la librería de procesamiento del Protocolo de Pasaporte Extendido (EPP).
La explotación exitosa de OVERPASS permite a actores de amenazas sin privilegios ejecutar comandos arbitrarios en los servidores SAP vulnerables con privilegios administrativos, lo que conduce al compromiso total de los procesos y datos empresariales subyacentes de SAP. La falla puede explotarse a través del Administrador de Comunicaciones de Internet de SAP (ICM), el componente de red del Servidor de Aplicaciones SAP que conecta el sistema SAP con Internet mediante HTTP, HTTPS y SMTP.
Según las estimaciones de Onapsis, más de 10,000 sistemas SAP expuestos a Internet utilizan el componente vulnerable y podrían estar potencialmente expuestos a ataques que aprovechen la vulnerabilidad CVE-2026-44756. JP Perez-Etchegoyen, CTO de Onapsis, declaró: 'Una búsqueda dirigida utilizando huellas digitales de alta fidelidad identifica más de 10,000 direcciones IP únicas expuestas a Internet que presentan una interfaz web SAP alcanzable desde Internet pública, y esa cifra es conservadora. Solo cuenta sistemas accesibles por HTTP y subestima materialmente el SAP Web Dispatcher, que actúa como proxy de su backend y no devuelve un banner distintivo de SAP en su ruta raíz, lo que dificulta estructuralmente la atribución por parte de escáneres de Internet a gran escala'.
S4GET: falla de lógica en el servidor de mensajes de NetWeaver
Además, SAP ha corregido en esta ocasión la vulnerabilidad CVE-2026-58240, una falla crítica de autenticación faltante en el Servidor de Mensajes de SAP NetWeaver, denominada S4GET por Onapsis Research Labs. Tras una explotación exitosa, los atacantes no autenticados pueden acceder a todo el clúster del sistema SAP y ejecutar cargas maliciosas y comandos arbitrarios de forma remota en la red.
El investigador de seguridad de Onapsis, Pablo Artuso, explicó: 'La falla se activa a través del mismo puerto público al que se conecta cada cliente GUI de SAP, por lo que no puede ser bloqueada por un firewall sin romper el inicio de sesión del usuario final. La explotación requiere credenciales, certificado o una configuración errónea preexistente. Un ataque exitoso produce ejecución remota de código como <sid>adm, el usuario a nivel de sistema operativo que ejecuta SAP, en cada servidor de aplicaciones del clúster'.
El mes pasado, SAP corrigió otra vulnerabilidad de máxima severidad (CVE-2026-58231) en la plataforma de comercio electrónico basada en la nube Commerce Cloud, que la empresa de inteligencia de amenazas Defused señaló como explotada activamente en ataques pocos días después de su corrección. Desde noviembre de 2021, la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha añadido 14 vulnerabilidades de SAP a su lista de fallas explotadas activamente, incluidas tres que fueron utilizadas por bandas de ransomware. SAP es una empresa multinacional alemana de software que reportó ingresos totales superiores a 36 mil millones de euros en el año fiscal 2025 y proporciona servicios a 99 de las 100 empresas más grandes del mundo.
Una vez que los atacantes tienen credenciales válidas, solo se bloquea el 37% de sus acciones
Las puntuaciones generales de prevención pueden ocultar lo que sucede después del acceso inicial. Una vez que los atacantes utilizan credenciales válidas, la prevención disminuye drásticamente. El Blue Report 2026 mide las defensas técnica por técnica a través de 338 millones de simulaciones ejecutadas en entornos de producción de clientes.
Deja una respuesta