SAP ha corregido 20 vulnerabilidades en sus actualizaciones de seguridad de septiembre de 2026, incluido un fallo de corrupción de memoria de máxima gravedad en el código de SAP Kernel. Los investigadores de Onapsis lo siguen como CVE-2026-44756 y lo han denominado OVERPASS. El fallo se debe a un desbordamiento de búfer clásico en la biblioteca de procesamiento de Extended Passport Protocol (EPP).
Una explotación exitosa puede permitir que atacantes sin privilegios ejecuten comandos arbitrarios con privilegios administrativos y comprometan por completo los procesos de SAP y los datos empresariales. El fallo puede explotarse a través de SAP Internet Communication Manager (ICM), que conecta los sistemas SAP a Internet mediante HTTP, HTTPS y SMTP. Onapsis estima que más de 10.000 sistemas SAP expuestos a Internet utilizan el componente vulnerable.
La actualización también corrige CVE-2026-58240, una vulnerabilidad crítica por falta de autenticación en SAP NetWeaver Message Server, denominada S4GET por Onapsis. Los atacantes no autenticados podrían acceder al clúster completo del sistema SAP y ejecutar cargas maliciosas y comandos arbitrarios de forma remota. Según Onapsis, la explotación no requiere credenciales, certificado ni una configuración incorrecta previa.
Desde noviembre de 2021, la U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha añadido 14 vulnerabilidades de SAP a su lista de fallos explotados activamente. Tres fueron utilizadas por grupos de ransomware.
Comentarios
0Aún no hay comentarios. Escribe el primero.