Actualización de seguridad de SAP de septiembre de 2026

SAP ha lan­za­do su ac­tua­li­za­ción de se­gu­ri­dad co­rres­pon­dien­te al mes de sep­tiem­bre, la cual com­pren­de un total de die­ci­nue­ve fa­llos de se­gu­ri­dad dis­tri­bui­dos en di­ver­sas ca­te­go­rías de gra­ve­dad, abar­can­do cua­tro pro­ble­mas crí­ti­cos, cua­tro altos, diez me­dia­nos y uno de nivel bajo. Estos in­con­ve­nien­tes im­pac­tan a múl­ti­ples so­lu­cio­nes y he­rra­mien­tas de la com­pa­ñía, pu­dien­do fa­ci­li­tar que in­di­vi­duos ma­lin­ten­cio­na­dos apro­ve­chen de­bi­li­da­des vin­cu­la­das con fal­si­fi­ca­ción de pe­ti­cio­nes en si­tios cru­za­dos, ges­tión de­fi­cien­te de ac­ce­sos, daños en la me­mo­ria, deseria­li­za­ción sin ga­ran­tías, pe­ti­cio­nes fal­si­fi­ca­das hacia el ser­vi­dor, au­sen­cia de va­li­da­cio­nes de iden­ti­dad y per­mi­sos, in­yec­cio­nes me­dian­te sal­tos de línea a tra­vés de com­po­nen­tes es­pe­cí­fi­cos, con­fi­gu­ra­cio­nes erró­neas de­ri­va­das del uso de Apa­che Log4j, ex­po­si­ción de cre­den­cia­les y datos, ata­ques de tipo click­jac­king, in­te­rrup­cio­nes del ser­vi­cio, en­ti­da­des ex­ter­nas en XML e in­yec­cio­nes de có­di­go SQL.

Entre los fa­llos de má­xi­ma gra­ve­dad iden­ti­fi­ca­dos se en­cuen­tran aque­llos re­la­cio­na­dos con la ad­mi­nis­tra­ción inapro­pia­da de pri­vi­le­gios, la ex­po­si­ción de datos de au­ten­ti­ca­ción, al­te­ra­cio­nes en la me­mo­ria y la ca­ren­cia de ve­ri­fi­ca­ción de iden­ti­dad. Para estas cua­tro vul­ne­ra­bi­li­da­des crí­ti­cas se han es­ta­ble­ci­do ofi­cial­men­te las cla­ves CVE-2026-44756, CVE-2026-58240, CVE-2026-76969 y CVE-2026-66768.

Ante este pa­no­ra­ma, el pro­vee­dor acon­se­ja con fir­me­za a los usua­rios que ac­ce­dan al sitio web de asis­ten­cia téc­ni­ca y eje­cu­ten la ins­ta­la­ción de las co­rrec­cio­nes ne­ce­sa­rias de ma­ne­ra prio­ri­ta­ria, con el pro­pó­si­to de sal­va­guar­dar sus pla­ta­for­mas y en­tor­nos de tra­ba­jo.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las des­crip­cio­nes téc­ni­cas in­di­vi­dua­les de los demás fa­llos de menor se­ve­ri­dad ni sobre los pro­duc­tos es­pe­cí­fi­cos afec­ta­dos por cada CVE in­di­vi­dual.