{"id":11300,"date":"2026-03-12T10:38:26","date_gmt":"2026-03-12T16:38:26","guid":{"rendered":"https:\/\/beaconlab.us\/?post_type=publicacion&#038;p=11300"},"modified":"2026-03-12T10:38:26","modified_gmt":"2026-03-12T16:38:26","slug":"alerta-2026-25-vulnerabilidades-criticas-en-sap-netweaver-y-sap-supply-chain-management","status":"publish","type":"publicacion","link":"https:\/\/beaconlab.us\/es\/publicacion\/alerta-2026-25-vulnerabilidades-criticas-en-sap-netweaver-y-sap-supply-chain-management\/","title":{"rendered":"Alerta 2026-25 Vulnerabilidades cr\u00edticas en SAP NetWeaver y SAP Supply Chain Management"},"content":{"rendered":"\n<h2 class=\"wp-block-heading\">Producto(s) afectado(s):&nbsp;<\/h2>\n\n\n\n<p><strong>SAP NetWeaver Enterprise Portal Administration<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>EP-RUNTIME 7.50<\/li>\n<\/ul>\n\n\n\n<p><strong>SAP Supply Chain Management (SCM)<\/strong><\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>SCMAPO 713<\/li>\n\n\n\n<li>SCMAPO 714<\/li>\n\n\n\n<li>SCM 700<\/li>\n\n\n\n<li>SCM 701<\/li>\n\n\n\n<li>SCM 702<\/li>\n\n\n\n<li>SCM 712<\/li>\n\n\n\n<li>S4CORE 102<\/li>\n\n\n\n<li>S4CORE 103<\/li>\n\n\n\n<li>S4CORE 104<\/li>\n\n\n\n<li>S4COREOP 105<\/li>\n\n\n\n<li>S4COREOP 106<\/li>\n\n\n\n<li>S4COREOP 107<\/li>\n\n\n\n<li>S4COREOP 108<\/li>\n\n\n\n<li>S4COREOP 109<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Descripci\u00f3n<\/h2>\n\n\n\n<p>Recientemente, SAP public\u00f3 actualizaciones de seguridad que corrigen dos vulnerabilidades identificadas como <strong>CVE-2026-27685 y CVE-2026-27689<\/strong>, que afectan a componentes clave de <strong>SAP NetWeaver Enterprise Portal Administration y SAP Supply Chain Management<\/strong>. La m\u00e1s cr\u00edtica de ellas, CVE-2026-27685, posee una puntuaci\u00f3n <strong>CVSS de 9.1 (cr\u00edtica)<\/strong> y se origina debido a un problema de deserializaci\u00f3n insegura de datos no confiables (CWE-502) dentro del portal empresarial de SAP NetWeaver.<\/p>\n\n\n\n<p>La vulnerabilidad CVE-2026-27685 ocurre cuando el sistema procesa objetos serializados provenientes de contenido cargado por usuarios privilegiados sin realizar validaciones adecuadas. La deserializaci\u00f3n convierte datos serializados en objetos ejecutables dentro de la aplicaci\u00f3n; si estos datos son manipulados por un atacante<strong>, pueden desencadenar la ejecuci\u00f3n de c\u00f3digo arbitrario en el sistema afectado<\/strong>. Esto podr\u00eda permitir comprometer completamente el servidor SAP, manipular informaci\u00f3n empresarial o facilitar movimientos laterales hacia otros sistemas dentro de la red corporativa.<\/p>\n\n\n\n<p>Por otro lado, la vulnerabilidad CVE-2026-27689, con una puntuaci\u00f3n <strong>CVSS de 7.7<\/strong> <strong>(alta),<\/strong> afecta a SAP Supply Chain Management y se debe a un problema de consumo excesivo de recursos dentro de un m\u00f3dulo de funci\u00f3n habilitado remotamente. Un atacante autenticado puede explotar esta debilidad invocando repetidamente una funci\u00f3n con par\u00e1metros manipulados que provocan la <strong>ejecuci\u00f3n de bucles prolongados dentro del sistema<\/strong>. Esto genera un consumo elevado de CPU y memoria, lo que puede derivar en condiciones de Denial-of-Service (DoS) que afecten la disponibilidad de servicios cr\u00edticos relacionados con la gesti\u00f3n de la cadena de suministro.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Soluci\u00f3n y mitigaciones:<\/h2>\n\n\n\n<p>SAP ha publicado parches oficiales para corregir ambas vulnerabilidades a trav\u00e9s de sus <strong>Security Notes<\/strong> incluidas en el ciclo de actualizaciones de marzo de 2026, mismas que puedes encontrar en los siguientes enlaces:<\/p>\n\n\n\n<p><a href=\"https:\/\/me.sap.com\/notes\/3714585\">https:\/\/me.sap.com\/notes\/3714585<\/a><\/p>\n\n\n\n<p><a href=\"https:\/\/me.sap.com\/notes\/3719502\">https:\/\/me.sap.com\/notes\/3719502<\/a><\/p>\n\n\n\n<p>Para <strong>CVE-2026-27685<\/strong>, la <strong>SAP Security Note 3714585<\/strong> introduce validaciones adicionales para impedir que datos serializados maliciosos sean procesados por el sistema. En el caso de <strong>CVE-2026-27689<\/strong>, la <strong>SAP Security Note 3719502<\/strong> corrige el manejo de par\u00e1metros dentro del m\u00f3dulo de funci\u00f3n afectado y limita la ejecuci\u00f3n de bucles que podr\u00edan provocar agotamiento de recursos.<\/p>\n\n\n\n<p>Adem\u00e1s de aplicar los parches oficiales, SAP recomienda a las organizaciones implementar controles adicionales de seguridad, tales como:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>restringir las capacidades de carga de contenido \u00fanicamente a usuarios confiables<\/li>\n\n\n\n<li>revisar peri\u00f3dicamente los registros de actividad en busca de comportamientos an\u00f3malos<\/li>\n\n\n\n<li>limitar el acceso a m\u00f3dulos de funci\u00f3n remotos<\/li>\n\n\n\n<li>monitorear el uso de recursos del sistema para detectar posibles intentos de explotaci\u00f3n.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">Informaci\u00f3n adicional:<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/onapsis.com\/blog\/sap-security-patch-day-march-2026\/\">https:\/\/onapsis.com\/blog\/sap-security-patch-day-march-2026\/<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-27689\">https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-27689<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-27685\">https:\/\/nvd.nist.gov\/vuln\/detail\/CVE-2026-27685<\/a><\/li>\n\n\n\n<li><a href=\"https:\/\/www.cert.gov.py\/vulnerabilidades-en-productos-sap-6\/\">Vulnerabilidades en productos SAP \u2013 CERT-PY<\/a><\/li>\n<\/ul>\n","protected":false},"featured_media":7919,"template":"","class_list":["post-11300","publicacion","type-publicacion","status-publish","has-post-thumbnail","hentry"],"acf":{"activar_pdf_link":false,"pdf":null,"numero_de_boletin":"25","traffic_light_protocol":"White"},"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion\/11300","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion"}],"about":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/types\/publicacion"}],"version-history":[{"count":1,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion\/11300\/revisions"}],"predecessor-version":[{"id":11301,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/publicacion\/11300\/revisions\/11301"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/media\/7919"}],"wp:attachment":[{"href":"https:\/\/beaconlab.us\/es\/wp-json\/wp\/v2\/media?parent=11300"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}