SAP ha publicado hoy, en su Patch Day mensual de noviembre, la corrección de 35 vulnerabilidades. Cuatro de ellas tienen la puntuación máxima posible en la escala CVSS: un 10.0 sobre 10. Todas se explotan sin credenciales, sin interacción de ningún usuario y de forma remota. Dos permiten ejecutar código directamente en el sistema; una tercera permite entrar como cualquier usuario, incluidos los privilegiados; y la cuarta convierte a un atacante externo en un servidor interno de confianza.
No es un aviso rutinario: SAP mueve las finanzas, la logística y los recursos humanos de 99 de las 100 empresas más grandes del mundo.
Las cuatro vulnerabilidades, una a una
CVE-2026-76964 — ICM2SHELL (Internet Communication Manager). Corrupción de memoria en el componente que gestiona el tráfico web del servidor NetWeaver. El código que vuelve a ensamblar los mensajes WebSocket fragmentados falla con tramas de control de longitud inválida, provocando una escritura fuera de los límites del heap antes de cualquier inicio de sesión. Quien lo consiga ejecuta código en el sistema operativo con la cuenta <sid>adm, la propietaria de la instalación de SAP. El soporte de WebSocket viene activado por defecto, así que un sistema está expuesto aunque nadie lo use.
CVE-2026-89126 — ICM2SHELL (SAP Web Dispatcher). El mismo fallo, en el mismo código compartido, pero en el Web Dispatcher: el balanceador y proxy inverso que recibe las peticiones web de internet y las pasa al servidor SAP, presente en casi todos los entornos empresariales de SAP. Afecta a los Web Dispatcher independientes y embebidos, incluidos los de SAP HANA, pero no a SAP Content Server.
CVE-2026-89103 — PROXYGATE (SAP Gateway). Un fallo de control de acceso roto. El Gateway decide con listas de acceso qué programas externos pueden conectarse, pero en este fallo activa su lista por defecto con privilegios altos: un atacante externo es tratado como si fuera uno de los servidores de aplicaciones internos del propio sistema. Desde ahí puede realizar acciones no autorizadas, incluida la ejecución de comandos del sistema operativo como <sid>adm. La exposición depende de la lista de proxies (prxyinfo) o del parámetro gw/acl_mode_proxy, que viene de fábrica en 0, es decir, permitiendo todas las conexiones proxy.
CVE-2026-120017 — SAML2 Service Provider. Un fallo de autenticación ausente en el proveedor de servicios SAML 2.0 de NetWeaver AS ABAP y ABAP Platform. En determinadas configuraciones no comprueba las firmas de las aserciones entrantes, lo que permite iniciar sesión como cualquier usuario, incluidos los privilegiados.
Tres de los cuatro fallos fueron descubiertos por los investigadores de Onapsis, que bautizó ICM2SHELL y PROXYGATE. Según Onapsis, los fallos afectan también a kernels fuera de mantenimiento (7.40–7.89, y 7.20–7.21 para el Gateway), que podrían no recibir corrección: la única salida es actualizar a una versión con soporte. Y en la versión 7.93 el nivel de parche 419 sigue siendo vulnerable: solo el kernel 401 actualizado, el 402 cuando se publique, y el 420 o superior llevan la corrección.
¿Se está explotando ya?
Los investigadores que descubrieron los fallos han declarado que no los han visto explotados en ataques. Es una buena noticia, pero no un motivo para relajarse: la agencia estadounidense CISA ha marcado 14 fallos de SAP como explotados activamente desde noviembre de 2021, tres de ellos abusados por grupos de ransomware. Y en agosto de este mismo año, un fallo de severidad máxima en SAP Commerce Cloud (CVE-2026-58231) empezó a explotarse días después de publicarse el parche. Con vulnerabilidades de este calibre, la ventana entre el parche y la explotación en masa se mide en días, no en semanas.
Qué hacer ahora
La prioridad es parchear, pero no todos los fallos se cierran solo con el parche:
- ICM y Web Dispatcher: actualiza el kernel y todos los Web Dispatcher en un único despliegue, hasta los niveles que cubran las 17 correcciones de kernel y Web Dispatcher de este mes. Localiza primero todos los Web Dispatcher: uno solo sin parchear deja el fallo abierto. Como último recurso, desactivar el soporte de WebSocket bloquea el fallo, pero rompe funciones como los canales push de ABAP y algunas de Fiori.
- Gateway (PROXYGATE): el parche del kernel por sí solo no basta. Haz restrictiva la lista de proxies prxyinfo, empezando por los Gateways alcanzables desde internet, y pon gw/acl_mode_proxy a 1. Sin una prxyinfo restrictiva o ese parámetro en 1, el sistema sigue expuesto a cualquier nivel de parche. Limita además los puertos del Gateway (33NN y 48NN) a los hosts que necesitan acceso RFC.
- SAML2: no hay solución alternativa; la única corrección son las instrucciones de la nota de SAP o el paquete de soporte indicado. Revisa los proveedores de identidad de confianza en la transacción SAML2 y audita los registros en busca de inicios de sesión SAML de usuarios privilegiados desde orígenes inesperados.
La mirada del SOC: qué vigilar
Vigila los registros del Gateway en busca de conexiones RFC desde orígenes que no son servidores de aplicaciones conocidos, y cualquier ejecución de comandos del sistema operativo lanzada por la cuenta <sid>adm. Monitoriza caídas o reinicios inesperados del ICM y del Web Dispatcher: un crash puede ser el primer síntoma de un intento de explotación de ICM2SHELL. En los sistemas con SAML, alerta sobre inicios de sesión de cuentas privilegiadas desde fuentes no habituales.
Cuatro CVSS 10.0 en el mismo día, sin autenticación, en el software que mueve a las mayores empresas del planeta. Parchear tarde aquí no es un riesgo teórico.