ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de SAP

Alerta 2026-149 Cuatro fallas críticas en SAP NetWeaver y Web Dispatcher

Producto(s) afectado(s): 

ProductoVersiones afectadas
SAP NetWeaver AS ABAP (Internet Communication Manager) — CVE-2026-76964KRNL64UC 7.53; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20
SAP Web Dispatcher — CVE-2026-89126HDB 2.00; KRNL64UC 7.53; WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16; XS_ADVANCED_RUNTIME 1.00; SAP_EXTENDED_APP_SERVICES 1; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20
SAP Gateway — CVE-2026-89103KRNL64NUC 7.22, 7.22EXT; KRNL64UC 7.22, 7.22EXT, 7.53, 8.04; KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20, 9.21
SAP NetWeaver AS ABAP y ABAP Platform (SAML2 Service Provider) — CVE-2026-120017SAP_BASIS 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 920, 921, 922

Las versiones son las publicadas en el boletín oficial de SAP. No hay una versión corregida única en esa página; las correcciones están en las notas 3778530, 3778556, 3798345 y 3849308.

Descripción

Se han publicado cuatro vulnerabilidades de severidad crítica (CVSS 10.0, crítica) en SAP NetWeaver AS ABAP, SAP Web Dispatcher y SAP Gateway. Forman parte del Security Patch Day del 10/11/2026, en el que el proveedor publicó 35 notas nuevas, 4 avisos de GitHub y 3 actualizaciones de notas previas. Este aviso se centra en las cuatro de CVSS 10.0, las únicas del ciclo con la puntuación máxima. Ninguna exige autenticación ni interacción del usuario.

CVE-2026-76964 (nota 3778530) es una corrupción de memoria en el Internet Communication Manager de NetWeaver AS ABAP (CWE-1287) que puede derivar en ejecución remota de código. CVE-2026-89126 (nota 3778556) es una falla de la misma clase en SAP Web Dispatcher (CWE-122), incluido el de HANA XS Classic y XS Advanced. CVE-2026-89103 (nota 3798345) es un control de acceso roto en SAP Gateway (CWE-863): la lista de control de acceso por defecto, con privilegios altos, puede clasificar a un atacante externo como servidor de aplicación interno y permitir acciones no autorizadas. CVE-2026-120017 (nota 3849308) afecta al proveedor SAML2 de AS ABAP y ABAP Platform (CWE-347): bajo ciertas configuraciones, no se verifica de forma suficiente la aserción de autenticación y un atacante sin inicio de sesión puede hacerse pasar por cualquier usuario, incluidos los privilegiados, con un impacto que puede extenderse a sistemas conectados.

La explotación y una prueba de concepto pública no son conocidas hasta el momento. EPSS aún no está disponible para estas CVE.

Mitigación

Se recomienda aplicar con prioridad las notas 3778530, 3778556, 3798345 y 3849308, y coordinar un único despliegue de kernel y de todas las instancias de Web Dispatcher (independientes, embebidas y las de HANA XS). Contrastar en SAP for Me los niveles vigentes. Inventariar ICM alcanzables, Web Dispatcher, puertos de Gateway (33xx) y sistemas AS ABAP que usen SAML2.

Investigadores reportan medidas temporales y precisiones que no figuran en la página pública del Patch Day; deben contrastarse con las notas vigentes de SAP antes de aplicarlas:

  • En SAML2 (CVE-2026-120017) y en SAP Gateway (CVE-2026-89103) no habría workaround: hay que parchear. Tras el parche de Gateway, investigadores reportan endurecer la ACL (gw/acl_mode, secinfo/reginfo y, cuando aplique, gw/acl_mode_proxy) y no exponer el puerto 33xx a redes de usuarios ni a Internet.
  • En el ICM (CVE-2026-76964), un Web Dispatcher ya parcheado podría servir de protección temporal solo si nadie alcanza los puertos del ICM de forma directa; desactivar el soporte WebSocket se plantea como último recurso.
  • En Web Dispatcher (CVE-2026-89126), desactivar WebSocket es una medida temporal y, según esos reportes, afecta ABAP Push Channels y parte de Fiori. Conviene inventariar todas las instancias: una sola sin parche deja la falla abierta.
  • Investigadores señalan que AS Java no estaría afectada por CVE-2026-76964 y que SAP Content Server no lo estaría por CVE-2026-89126; conviene contrastarlo en las notas. En CVE-2026-120017, tratar como en alcance los sistemas AS ABAP que usen SAML2 para inicio de sesión hasta demostrar lo contrario. La lista oficial de SAP_BASIS es la de la tabla; la nota vigente en SAP for Me podría incluir ramas adicionales.

Como medidas generales, revisar inicios de sesión SAML privilegiados atípicos, registros del Gateway desde hosts que no son application servers del sistema, y el nivel de kernel real de cada instancia tras el reinicio. Ni el boletín oficial ni el registro CVE publicaron indicadores de compromiso. El parche cierra la falla; no revierte un compromiso previo.

Solución

La solución consiste en aplicar las notas 3778530, 3778556, 3798345 y 3849308 en los componentes afectados (kernel e ICM, Web Dispatcher incluido el de HANA XS, Gateway y SAP_BASIS del proveedor SAML2), en un único plan de actualización. Las instrucciones detalladas están en cada nota, en SAP for Me.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://support.sap.com/en/my-support/knowledge-base/security-notes-news/november-2026.html

Información adicional: