Vulnerabilidades y Avisos de Seguridad: Boletín de seguridad de SAP de noviembre de 2026

Resumen de la alerta

SAP ha publicado su boletín de seguridad de noviembre de 2026 con 35 nuevas notas de seguridad, cuatro avisos en GitHub y tres revisiones de notas anteriores. El conjunto incluye nueve vulnerabilidades críticas, cuatro de ellas con una puntuación CVSS de 10,0.

Entre los problemas más relevantes se encuentra ICM2SHELL, denominación utilizada para dos vulnerabilidades de corrupción de memoria en SAP Internet Communication Manager (ICM) y SAP Web Dispatcher. Estas fallas pueden permitir la ejecución de comandos sin autenticación a través de los puertos HTTP o HTTPS, así como provocar una denegación de servicio.

También destacan vulnerabilidades en SAP Gateway, el proveedor de servicios SAML 2.0 de SAP NetWeaver AS ABAP y ABAP Platform, XML Forms, Application Server ABAP, S4CRM y SAP BusinessObjects Business Intelligence Platform.

La información disponible indica “Explotación: No” para todos los CVE incluidos en el aviso. Por tanto, existen vulnerabilidades críticas que deben corregirse con prioridad, pero no se ha comunicado explotación confirmada de estas fallas.

Recursos afectados

Las vulnerabilidades afectan a las siguientes versiones y componentes de SAP cuando no disponen de las correcciones correspondientes:

• SAP NetWeaver AS ABAP (Internet Communication Manager, ICM): KRNL64UC 7.53 y KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 y 9.20.
• SAP Web Dispatcher, incluido el integrado en SAP HANA XS Classic y XS Advanced: WEBDISP 7.53, 7.54, 7.77, 7.93 y 9.16; HDB 2.00; XS_ADVANCED_RUNTIME 1.00; SAP_EXTENDED_APP_SERVICES 1; y las versiones de KRNL64UC y KERNEL indicadas para ICM.
• SAP Gateway: KRNL64NUC 7.22 y 7.22EXT; KRNL64UC 7.22, 7.22EXT, 7.53 y 8.04; y KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20 y 9.21.
• SAP NetWeaver AS ABAP y ABAP Platform, proveedor de servicios SAML 2.0: SAP_BASIS 702, 731, 740, 750 a 758, 816 y 920 a 922.
• SAP NetWeaver Knowledge Management (XML Forms): KMC-CM 7.50.
• SAP NetWeaver y ABAP Platform, Application Server ABAP: KRNL64NUC 7.22 y 7.22EXT; KRNL64UC 7.22, 7.22EXT y 7.53; y KERNEL 7.22, 7.53, 7.54, 7.77, 7.93 y 9.16.
• S4CRM: S4CRM 204 a 206, S4CEXT 107 a 109 y BBPCRM 713 y 714.
• SAP Web Dispatcher e ICM, nota 3804858: WEBDISP 7.93 y 9.16, XS_ADVANCED_RUNTIME 1.00 y KERNEL 7.93, 9.16, 9.20 y 9.21.
• SAP BusinessObjects Business Intelligence Platform (Web Intelligence): ENTERPRISE 430, 2025 y 2027.

Para ICM2SHELL, también deben revisarse los núcleos afectados desde la versión 7.40 que estén fuera de mantenimiento, así como las instalaciones de doble pila que ejecuten ABAP. La exposición depende de la versión de núcleo instalada y de su nivel de parche.

Descripción de las vulnerabilidades

ICM2SHELL engloba dos vulnerabilidades críticas localizadas por Onapsis Research Labs en el procesamiento de mensajes WebSocket. WebSocket es un mecanismo de comunicación persistente entre aplicaciones y navegadores o clientes; en los productos afectados, su compatibilidad está habilitada de forma predeterminada.

• CVE-2026-76964: afecta a Internet Communication Manager (ICM) de SAP NetWeaver AS ABAP. Está asociada a la nota SAP 3778530.
• CVE-2026-89126: afecta a SAP Web Dispatcher, incluido el integrado en SAP HANA XS Classic y XS Advanced. Está asociada a la nota SAP 3778556.

Ambas vulnerabilidades se deben a fallos de corrupción de memoria. Un atacante con acceso al puerto HTTP o HTTPS podría ejecutar comandos como el usuario del sistema operativo <sid>adm o causar una interrupción del servicio.

El boletín también identifica otras vulnerabilidades críticas:

• CVE-2026-89103, PROXYGATE: una política de proxy permisiva en SAP Gateway puede hacer que solicitudes externas sean tratadas como internas, permitiendo a un atacante no autenticado ejecutar comandos del sistema operativo.
• CVE-2026-120017: una comprobación insuficiente de aserciones SAML en determinadas configuraciones puede permitir eludir la autenticación y suplantar a usuarios, incluidos usuarios privilegiados.
• CVE-2026-109803: un usuario autenticado con acceso a XML Forms podría ejecutar código arbitrario mediante una transformación XSL no autorizada.
• CVE-2026-76965: la falta de verificaciones de autorización en Application Server ABAP puede permitir que un usuario con pocos privilegios ejecute comandos del sistema operativo.
• CVE-2026-109795: validaciones insuficientes de permisos y entradas en funciones remotas de S4CRM pueden permitir que un usuario con pocos privilegios inyecte y ejecute código.
• CVE-2026-89119: un atacante podría inducir a un administrador con sesión iniciada a abrir un enlace manipulado y ejecutar acciones con los permisos de ese administrador en SAP Web Dispatcher o ICM.
• CVE-2026-109798: el tratamiento de entidades XML externas en solicitudes OLAP de Web Intelligence puede permitir a un atacante autenticado leer archivos restringidos o acceder a recursos internos.

Impacto y nivel de riesgo

El riesgo prioritario se concentra en los sistemas SAP ICM y Web Dispatcher expuestos mediante HTTP o HTTPS, especialmente cuando son accesibles desde Internet. En el caso de ICM2SHELL, la explotación podría producirse sin autenticación y permitir la ejecución de comandos con la cuenta de sistema operativo <sid>adm, o causar una denegación de servicio.

PROXYGATE también presenta un escenario de alta prioridad cuando SAP Gateway utiliza una política de proxy permisiva. Bajo esa condición, un atacante no autenticado podría conseguir ejecución de comandos del sistema operativo.

El resto de vulnerabilidades tiene condiciones previas que deben tenerse en cuenta al priorizar:

• Las fallas de XML Forms, Application Server ABAP, S4CRM y Web Intelligence requieren un usuario autenticado, aunque en varios casos puede disponer de pocos privilegios.
• La vulnerabilidad de SAP Web Dispatcher o ICM identificada como CVE-2026-89119 requiere interacción de un administrador que ya tenga una sesión iniciada.
• CVE-2026-120017 depende de determinadas configuraciones relacionadas con la validación de aserciones SAML.

No se ha informado de explotación activa o confirmada para los CVE recogidos en este aviso. Esta ausencia no reduce la necesidad de actualización, dado el impacto potencial de la ejecución de código, la ejecución de comandos del sistema operativo, la evasión de autenticación y el acceso a información restringida.

Solución y medidas recomendadas

La medida principal es aplicar las notas de seguridad de SAP correspondientes a cada componente afectado. Para ICM2SHELL, SAP recomienda priorizar la actualización de las instancias ICM y SAP Web Dispatcher accesibles desde Internet, incluidos los Web Dispatcher autónomos y los integrados en SAP HANA XS.

Los niveles de parche indicados para corregir ICM2SHELL son los siguientes:

• Núcleo de SAP y Web Dispatcher: 7.53 PL 1616 o 1617 según la variante, 7.54 PL 710, 7.77 PL 914 y 9.16 PL

  Fuente: link

  Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.

  TechConsulting muestra este contenido por creer en su fuente y como servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.

  Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.