Alerta de seguridad SAP julio 2026: fallas críticas en ABAP, Approuter y OAuth que pueden exponer datos y afectar operaciones

SAP publicó sus parches de seguridad de julio de 2026 corrigiendo varias fallas críticas que afectan a entornos empresariales ampliamente usados, entre ellas una vulnerabilidad de escritura fuera de límites en SAP NetWeaver Application Server ABAP (CVE-2026-44747) que recibe un puntaje CVSS casi máximo y que, en escenarios donde un atacante está autenticado, puede provocar corrupción de memoria con impacto en confidencialidad, integridad y disponibilidad. Aunque por ahora no hay evidencia pública de explotación masiva, la gravedad técnica y el alcance potencial —sistemas ERP, procesos financieros y datos sensibles— obligan a priorizar la respuesta. Más información general sobre avisos de seguridad de SAP puede consultarse en la página oficial de SAP: SAP Product Security.

Además de la falla en ABAP, los boletines incluyen un defecto de HTTP request/response smuggling en despliegues de SAP Approuter fuera de Cloud Foundry (CVE-2026-27690), que permite a un atacante no autenticado desincronizar peticiones y respuestas para exfiltrar información o provocar denegaciones de servicio, y una configuración por defecto de OAuth 2.0 en SAP Commerce Cloud (CVE-2026-44761) donde clientes de ejemplo con credenciales públicas pueden permanecer en producción y ser reutilizados por atacantes para obtener tokens válidos. Los avisos y la información pública sobre vulnerabilidades pueden contrastarse con bases de datos como NVD: NVD - National Vulnerability Database.

Desde el punto de vista operativo, la primera regla es priorizar la aplicación de parches: instale cuanto antes las versiones del kernel ABAP y los parches oficiales para Approuter y Commerce Cloud en entornos de prueba, seguido por entornos productivos dentro de una ventana de mantenimiento controlada. SAP y firmas de seguridad como Onapsis han reportado que como medida temporal se puede deshabilitar ciertos nodos ICF mediante la transacción SICF, pero esa solución conlleva pérdida de funcionalidad de SAP GUI for HTML y por tanto no es viable para muchas organizaciones; debe reservarse como medida de emergencia y valorarse junto con las áreas de negocio por el impacto funcional.

En el caso de la falla vinculada a OAuth en Commerce Cloud, la remediación inmediata y no negociable es auditar la presencia de clientes OAuth creados a partir de scripts de ejemplo. Si se detecta un cliente con credenciales públicas, el cliente debe eliminarse o su secreto debe rotarse inmediatamente por uno fuerte y único. Verifique también que la documentación y los procesos de despliegue internos no vuelvan a importar configuraciones de ejemplo en producción y aplique políticas que bloqueen secretos hard-coded en repositorios o scripts de despliegue.

Para mitigar riesgos asociados al smuggling HTTP y a vectores de denegación de servicio, aplique los parches oficiales, pero también considere medidas complementarias: habilitar controles en el proxy inverso o WAF que detecten y bloqueen patrones de desincronización, ajustar timeouts y límites de cabeceras, y revisar reglas de seguridad en el balanceador. En entornos donde no sea posible parchear inmediatamente, reduzca la exposición de componentes sensibles a redes públicas y limite accesos por IP o VPN a las capas de administración y a rutas críticas.

No subestime la necesidad de visibilidad y detección: revise logs de acceso y de servidor para patrones inusuales, configure alertas en SIEM para intentos de uso de credenciales conocidas, y monitorice tokens OAuth y llamadas API con privilegios elevados. Integre la comprobación de estos CVE en su ciclo de gestión de vulnerabilidades y en la configuración de escaneos automatizados para evitar regresiones en despliegues futuros.

Finalmente, considere el impacto regulatorio y de negocio: explotación de estas vulnerabilidades podría implicar fuga de datos personales o manipulación de transacciones, lo que obliga a activar planes de respuesta a incidentes, notificaciones a stakeholders y, si procede, a autoridades regulatorias. Mantenga comunicación con proveedores y partners, documente las acciones tomadas y programe una revisión postparche para validar la estabilidad y la cobertura de controles. Para análisis y asesoría especializada sobre SAP es recomendable consultar a proveedores de seguridad con experiencia en ERP como Onapsis: Onapsis.