En el Security Patch Day de noviembre, SAP publicó correcciones para cuatro vulnerabilidades, cada una con la puntuación máxima de CVSS 10.0. Las cuatro vulnerabilidades pueden explotarse sin autenticación y sin interacción del usuario. Se ven afectados componentes clave de la infraestructura SAP: el servidor de aplicaciones SAP NetWeaver AS ABAP (Internet Communication Manager, proveedor SAML2, SAP Gateway) y SAP Web Dispatcher. Dos vulnerabilidades están relacionadas con corrupción de memoria y potencialmente permiten ejecutar código arbitrario, otra permite eludir la autenticación SAML e iniciar sesión como cualquier usuario, y una más permite obtener privilegios de servidor interno a través de SAP Gateway. Los parches están disponibles en el boletín de seguridad de SAP de noviembre, y el proveedor recomienda aplicarlos de forma prioritaria.
Detalles técnicos de las vulnerabilidades
Corrupción de memoria en ICM y Web Dispatcher (CVE-2026-76964, CVE-2026-89126)
Las vulnerabilidades CVE-2026-76964 y CVE-2026-89126 tienen una causa raíz común: tramas de control WebSocket mal formadas con una longitud de campo no válida provocan escrituras fuera de los límites del área de memoria asignada en el heap (heap out-of-bounds write). El ataque se produce antes de cualquier autenticación: basta con tener acceso de red al componente vulnerable. Según el análisis, una explotación exitosa potencialmente permite ejecutar código arbitrario y comprometer por completo el sistema.
Versiones de kernel afectadas para CVE-2026-76964 (ICM): KRNL64UC 7.53; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20. SAP NetWeaver AS Java no se ve afectado.
Para CVE-2026-89126 (Web Dispatcher) el alcance es más amplio: además de versiones de kernel similares, se ven afectados los instancias de Web Dispatcher autónomas e integradas, incluidas las implementaciones SAP HANA XS Classic y XS Advanced. SAP Content Server no se ve afectado. Lista completa: HDB 2.00; KRNL64UC 7.53; WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16; XS_ADVANCED_RUNTIME 1.00; SAP_EXTENDED_APP_SERVICES 1; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20.
Las correcciones se suministran a través de la SAP Note 3778530 (ICM) y la SAP Note 3778556 (Web Dispatcher).
Bypass de autenticación SAML2 (CVE-2026-120017)
La vulnerabilidad CVE-2026-120017 afecta al proveedor SAML2 en SAP NetWeaver AS ABAP y ABAP Platform. Según los investigadores, en determinadas configuraciones el proveedor no comprobaba las firmas de las assertions SAML entrantes. Esto permite a un atacante falsificar los datos de autenticación e iniciar sesión en el sistema como cualquier usuario, incluidas cuentas con privilegios. La completa compromisión del sistema puede extenderse a los sistemas SAP relacionados.
Versiones SAP_BASIS afectadas: 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 920, 921, 922. No existe solución temporal: la única vía de mitigación se describe en la SAP Note 3849308.
Cabe destacar que en junio de 2026 SAP ya había corregido una vulnerabilidad SAML en el mismo componente — CVE-2026-44748 (XML Signature Wrapping), que, sin embargo, requería disponer de una cuenta de usuario normal. Ya escribimos sobre esta vulnerabilidad anteriormente. La nueva vulnerabilidad CVE-2026-120017 es más peligrosa: no requiere ningún tipo de credenciales.
Violación del control de acceso en SAP Gateway (CVE-2026-89103)
La vulnerabilidad CVE-2026-89103 está relacionada con el comportamiento de las listas de control de acceso (ACL) en SAP Gateway. Cuando los archivos secinfo y reginfo no contienen reglas explícitas o dependen de la palabra clave internal host, el gateway aplica reglas predeterminadas con altos privilegios. Un atacante externo puede ser clasificado por el sistema como uno de los servidores de aplicaciones internos, lo que, según los investigadores, abre vías de ataque estándar a través de Gateway hasta llegar a la ejecución de comandos.
Versiones de kernel afectadas: KRNL64NUC 7.22, 7.22EXT; KRNL64UC 7.22, 7.22EXT, 7.53, 8.04; KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20, 9.21. La corrección está en la SAP Note 3798345.
Dos líneas de mitigación, no una sola
El análisis de los componentes afectados muestra que las cuatro vulnerabilidades se dividen en dos líneas independientes de mitigación. Las vulnerabilidades de ICM (CVE-2026-76964) y Web Dispatcher (CVE-2026-89126) se corrigen mediante una actualización coordinada del kernel y de todas las instancias de Web Dispatcher. Según el análisis de RedRays, esta actualización debería cubrir las 17 correcciones de noviembre para el kernel y Web Dispatcher. Sin embargo, las vulnerabilidades de SAML2 (CVE-2026-120017) y Gateway (CVE-2026-89103) requieren ajustes independientes a nivel de AS ABAP y de la configuración de Gateway. Actualizar únicamente el componente perimetral Web Dispatcher no cierra las cuatro brechas.
Un matiz adicional para CVE-2026-76964: el parche de Web Dispatcher puede proteger temporalmente a ICM frente a la explotación a través de WebSocket, pero solo bajo la condición de que los puertos de ICM no sean accesibles directamente desde las redes de usuario o desde internet. Si existe acceso directo a los puertos de ICM, también es necesario parchear ICM por separado.
Recomendaciones prácticas
- SAML2 (CVE-2026-120017): Deben considerarse afectadas todas las sistemas AS ABAP que utilicen SAML2 para acceso vía navegador (Fiori Launchpad, Web GUI detrás de un proveedor de identidad), hasta que se confirme lo contrario. No hay solución temporal: es necesario aplicar la SAP Note 3849308. Tras el parcheo, se recomienda revisar todos los proveedores de identidad de confianza en la transacción SAML2 y analizar los registros de auditoría en busca de inicios de sesión SAML de usuarios con privilegios desde orígenes inesperados.
- Gateway (CVE-2026-89103): Después de aplicar la SAP Note 3798345, configure el parámetro de perfil
gw/acl_mode_proxy(para kernels hasta 7.77; en los kernels a partir de 7.93 ya está presente). Asegúrese de quegw/acl_modesea igual a 1, de que secinfo y reginfo contengan reglas explícitas, y de que el puerto de Gateway (33xx) no sea accesible desde las redes de usuario ni desde internet. - ICM (CVE-2026-76964): Actualice el kernel mediante dw.sar o SP Stack Kernel. Desactivar el soporte WebSocket bloquea la vulnerabilidad, pero interrumpe la funcionalidad que depende de WebSocket.
- Web Dispatcher (CVE-2026-89126): Realice un inventario de todas las instancias de Web Dispatcher — autónomas, integradas y como parte de HANA XS. Una sola instancia sin parchear deja la vulnerabilidad abierta. Para instancias autónomas — SAPWEBDISP.SAR; para integradas — dw.sar o SP Stack Kernel; para XS Classic — SPS08 revision 089.05 o SPS07 revision 079.11; para XS Advanced — versión 1.5.4 o superior.
No hay información, en el momento de la publicación, sobre explotación activa de estas vulnerabilidades; sin embargo, la puntuación máxima CVSS 10.0, la ausencia de requisitos de autenticación y el amplio alcance de las versiones afectadas convierten estas vulnerabilidades en una prioridad para su mitigación inmediata. Las organizaciones que usan SAP NetWeaver deben planificar una actualización coordinada del kernel y de Web Dispatcher, combinada con correcciones independientes para SAML2 y Gateway, y ejecutarla en la próxima ventana de mantenimiento disponible.
