Para: quienes operan por su cuenta sistemas ERP o de negocio de SAP (NetWeaver AS ABAP, S/4HANA, Web Dispatcher, etc.), el personal de TI y de seguridad responsable, y quienes dejan la operación en manos de un contratista. Este artículo se basa en la lista pública del Security Patch Day de SAP, los registros CVE y el catálogo KEV de CISA. No trata pasos de ataque.
En desarrollo: este artículo se actualizará a medida que se publique más
- A quién afecta
quienes operan por su cuenta sistemas ERP o de negocio de SAP (NetWeaver AS ABAP, S/4HANA, Web Dispatcher, etc.), el personal de TI y de seguridad responsable, y quienes dejan la operación en manos de un contratista.
- Confirmado hasta ahoraVer la tabla ↓
- Cifras del patch day
- Los cuatro fallos con CVSS 10.0
- Los tres fallos con CVSS 9.9
- Aún sin confirmar
- El texto de las SAP Notes (versiones corregidas, niveles de parche, soluciones provisionales; exige iniciar sesión y este sitio no lo ha leído)
- Si alguno de ellos se explota (ni la lista de SAP ni KEV lo mencionan; la valoración de CISA está asociada a 4 de los 7 registros)
- Su incorporación al catálogo KEV de CISA (no figuran en la versión del 10 de noviembre, 19:00 UTC)
- Qué hacer ahoraVer los pasos ↓
- Haga una lista de los puntos de acceso de SAP alcanzables desde fuera
- Compruebe sus versiones
- Abra las SAP Notes y confirme los niveles corregidos
3 más
- Busque huecos con System Recommendations
- Planifique la actualización, incluido el reinicio
- Hasta entonces, reduzca lo que puede llegar a estos sistemas
- Dónde verificarlo (fuente)Todas las fuentes ↓
- SAP, «Security Patch Day - November 2026» (10 de noviembre de 2026; en inglés)
- Última comprobación
- A 11 de noviembre de 2026 (JST)
Próximos avisos y qué comprobamos
La página pública de SAP dice que el 10 de noviembre de 2026 el Security Patch Day publicó 35 notas de seguridad nuevas y 4 avisos de seguridad en GitHub, y actualizó 3 notas anteriores. SAP recomienda encarecidamente visitar el portal de soporte y aplicar los parches con prioridad.
Qué hacer hoy
Haga una lista de los puntos de acceso de SAP alcanzables desde fuera
Compruebe, con las reglas de su cortafuegos y el rango real de direcciones de origen, si Web Dispatcher (el componente de front end de SAP que distribuye las solicitudes HTTP), ICM (la parte de AS ABAP que gestiona HTTP y HTTPS) y SAP Gateway son alcanzables desde internet o desde redes de socios. Todo lo alcanzable es la máxima prioridad. Los sistemas solo internos también están dentro del alcance, pero van después.
Compruebe sus versiones
En general, la versión del kernel SAP se ve en SAP GUI en Sistema, Estado, en la transacción SM51, o en el servidor con disp+work -version. La versión de SAP_BASIS está en la lista de componentes de la pantalla de Estado. Web Dispatcher suele ser un proceso aparte con su propia versión (lo anterior no está en el texto de SAP; es una adición nuestra). Compárelas con la columna «Version(s)» de la lista de SAP. El Web Dispatcher integrado en HANA (nuestra lectura de la entrada «HDB 2.00» de la lista) o en el tiempo de ejecución XS Advanced también figura en la lista (nuestra interpretación).
Abra las SAP Notes y confirme los niveles corregidos
Abra en el SAP Support Portal los números de nota de la tabla de abajo. Las versiones corregidas, los niveles de parche necesarios y las posibles soluciones provisionales están en el texto de la nota. Las mismas versiones de kernel aparecen en varias filas, así que compruebe en el texto si una sola actualización del kernel puede cubrir varias notas y planifíquelas juntas.
Busque huecos con System Recommendations
Si usa SAP Solution Manager, System Recommendations lista las notas de seguridad que se aplican a cada sistema. En general, si los datos del sistema están desactualizados, puede que no liste una nota. Compruebe que los números de la tabla aparecen como candidatos y, si no, actualice los datos del sistema y vuelva a comprobar (adición nuestra). Sin Solution Manager, compruebe los números de nota uno por uno a mano.
Planifique la actualización, incluido el reinicio
Una actualización del kernel suele implicar parar y arrancar instancias. Pruébela y luego reserve de antemano la ventana de inactividad de producción. En general, un front end redundante puede actualizarse un nodo cada vez. Tras el reinicio, confirme que el kernel en ejecución es el nuevo (lo anterior no está en el texto de SAP; es una adición nuestra).
Hasta entonces, reduzca lo que puede llegar a estos sistemas
Cierre con el cortafuegos todo punto de acceso que no necesite ser alcanzable desde fuera. Mantenga los puntos de acceso de uso interno, como SAP Gateway, fuera de internet y limitados a los servidores que los necesitan. Si configuró la autenticación SAML 2.0, puede verse afectado por CVE-2026-120017, así que compruebe primero si está configurada (el registro CVE dice «en ciertas configuraciones»).
Web Dispatcher o ICM expuestos
Máxima prioridad. Alcanzable sin autenticación. Reserve hoy la ventana de actualización
Gateway, autenticación SAML 2.0
Después. Limite lo que puede llegar a ellos y compruebe si los usa
Los tres elementos 9.9, explotables tras iniciar sesión
Más urgente donde mucha gente puede iniciar sesión. Si no, el calendario normal
Tabla de prioridades (CVSS 10.0 y 9.9)
Los valores CVSS son los mismos en la lista de SAP y en los registros CVE (asignados por SAP). La columna «Condición previa» se basa en la descripción del registro CVE.
| CVE | Producto | CVSS | SAP Note | Condición previa (registro CVE) |
|---|---|---|---|---|
| CVE-2026-89126 | SAP Web Dispatcher (corrupción de memoria) | 10.0 | 3778556 | Sin autenticación; por la red |
| CVE-2026-76964 | ICM de NetWeaver AS ABAP (corrupción de memoria) | 10.0 | 3778530 | Sin autenticación; por la red |
| CVE-2026-89103 | SAP Gateway (control de acceso) | 10.0 | 3798345 | Sin autenticación; exige acceso de red al Gateway |
| CVE-2026-120017 | Proveedor de servicios SAML2 de AS ABAP y ABAP Platform (falta de autenticación) | 10.0 | 3849308 | Sin autenticación; en ciertas configuraciones |
| CVE-2026-76965 | AS ABAP y ABAP Platform (ejecución de comandos del SO) | 9.9 | 3792735 | Inicio de sesión con pocos privilegios |
| CVE-2026-109795 | S4CRM (falta de autorización) | 9.9 | 3834842 | Inicio de sesión con pocos privilegios |
| CVE-2026-109803 | NetWeaver Knowledge Management (XML Forms, inyección de código) | 9.9 | 3809153 | Usuario autenticado |
Las otras dos filas que SAP marca como Critical son:
| CVE | Producto | CVSS | SAP Note |
|---|---|---|---|
| CVE-2026-89119 (CVE adicional: CVE-2026-120014) | Web Dispatcher e ICM (CSRF) | 9.6 | 3804858 |
| CVE-2026-109798 | SAP BusinessObjects BI (Web Intelligence, XXE) | 9.1 | 3799117 |
La opinión de este sitio: los cuatro fallos con CVSS 10.0 se reparten entre el front end (Web Dispatcher, ICM), el relé (Gateway) y la autenticación (SAML2). Proteger una sola superficie de ataque no basta en un panorama SAP. Web Dispatcher e ICM tienen además otras notas de corrupción de memoria y denegación de servicio con CVSS de 7.5 a 7.7 (CVE-2026-109800, 109793, 109794), así que conviene planificar las actualizaciones del front end y del kernel como un solo trabajo. Qué nivel de parche corrige qué está en el texto de las notas.
Qué publicó SAP
- Cifras
- 35 notas de seguridad nuevas, 4 avisos de seguridad en GitHub y 3 actualizaciones de notas anteriores (descripción de SAP)
- Desglose por prioridad
- La lista de SAP tiene 42 filas: 9 Critical, 17 High, 15 Medium y 1 Low (este sitio contó las filas). Eso incluye los 4 elementos de GitHub y las 3 actualizaciones
- Critical (9 filas)
- Cuatro con CVSS 10.0, tres con 9.9, una con 9.6 y una con 9.1
- Actualizaciones de notas anteriores
- Octubre de 2026 (XSS, nota 3671819), julio de 2026 (WebClient UI, nota 3155685) y abril de 2022 (WebClient UI, nota 3101986). Si las aplicó antes, compruebe el contenido actualizado
- Bibliotecas para desarrolladores
- Los 4 avisos de GitHub cubren SAP Cloud SDK for Python (anteriores a 0.63.1 y anteriores a 0.50.0), SAP Cloud SDK for AI (JavaScript, 2.17.0 y anteriores) y SAP/astonish (anteriores a 3.6.0). Compruebe las versiones de paquetes que usa, aparte del propio ERP
- Recomendación de SAP
- Visitar el portal de soporte y aplicar los parches con prioridad
- CVE-2026-89126, 76964
- Corrupción de memoria. Un atacante sin autenticar que envíe tráfico de red especialmente manipulado podría ejecutar código arbitrario y comprometer por completo el sistema. CVSS 3.1 es 10.0 (red, complejidad baja, sin privilegios, sin interacción del usuario, alcance cambiado)
- CVE-2026-89103
- SAP Gateway activa la lista de control de acceso predeterminada con privilegios altos, por lo que un atacante externo se trata como un servidor de aplicaciones interno. Un atacante sin autenticar podría realizar acciones no autorizadas. CVSS 3.1 es 10.0
- CVE-2026-120017
- En ciertas configuraciones, las aserciones de autenticación entrantes no se verifican lo suficiente. Un atacante sin autenticar podría eludir la autenticación y suplantar a usuarios arbitrarios, incluidas cuentas con privilegios. CVSS 3.1 es 10.0
- CVE-2026-76965, 109795, 109803
- Con un inicio de sesión con pocos privilegios: ejecución de comandos del SO (76965), inyección de código (109795) y ejecución de código arbitrario mediante una transformación XSL no autorizada (109803). CVSS 3.1 es 9.9
- Versiones corregidas y soluciones provisionales
- No figuran en los registros CVE. Véase el texto de las SAP Notes
Estado de la explotación
A 11 de noviembre de 2026, esto es lo que pudimos confirmar.
- Lista de SAP
- Sin mención de explotación
- KEV
- Ninguno de los 45 CVE de la lista de SAP está en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA (versión del 10 de noviembre, 19:00 UTC)
- Valoración de CISA (SSVC)
- Asociada a cuatro de los registros: CVE-2026-89126, 120017, 109803 y 109795. Todas dicen exploitation: none. 89126 y 120017 se califican como automatizables; 109803 y 109795 no. El impacto técnico es total en los cuatro. 76964, 89103 y 76965 no tenían valoración cuando lo comprobamos
La opinión de este sitio: «sin explotación» es una valoración hecha menos de un día después de la publicación. CISA todavía puede añadir valoraciones o cambiarlas. Empiece por los puntos de acceso expuestos al exterior antes de que eso cambie.
Qué se sabe y qué no
| Elemento | Qué se ha publicado | Estado |
|---|---|---|
| Cifras del patch day | 35 notas nuevas, 4 avisos de GitHub, 3 actualizaciones (SAP) | Confirmado (SAP) |
| Los cuatro fallos con CVSS 10.0 | Web Dispatcher, ICM, Gateway, SAML2. Productos y rangos de versiones (lista de SAP, registros CVE) | Confirmado (SAP) |
| Los tres fallos con CVSS 9.9 | ABAP, S4CRM, Knowledge Management. Exigen un inicio de sesión con pocos privilegios (registros CVE) | Confirmado (SAP) |
| Versiones corregidas y niveles de parche | En el texto de las SAP Notes (exige iniciar sesión) | No verificado |
| Soluciones provisionales | No figuran en la lista ni en los registros CVE | No se indica |
| Explotación | No figura en la lista de SAP ni en KEV; las cuatro valoraciones de CISA dicen none | No se indica |
| Incorporación a KEV | No figura en la versión del 10 de noviembre, 19:00 UTC | No se indica |
Si deja la operación en manos de otros
Pregunte estas tres cosas a su contratista o a su contacto de soporte SAP.
- Cuáles son las versiones de nuestro kernel SAP y de SAP_BASIS, y las versiones de Web Dispatcher e ICM
- Cuándo se aplicarán las SAP Notes de la tabla y en qué ventana de inactividad con reinicio
- Si Web Dispatcher y Gateway son alcanzables desde internet o desde redes de socios, y si usamos autenticación SAML 2.0
La opinión de este sitio: un inventario de versiones acelera cada actualización mensual
Los patch days de SAP llegan cada mes, y las actualizaciones suelen retrasarse menos por el fallo en sí que por organizar la ventana de inactividad y las pruebas. Si mantiene una lista de qué sistemas son visibles desde fuera y qué versión de kernel ejecuta cada uno, no tiene que empezar de cero en cada patch day. Cómo fijar prioridades se trata en decidir qué parchear primero (CVSS, EPSS, KEV).
Cronología
10 de noviembre de 2026
SAP celebra su Security Patch Day: 35 notas, 4 avisos de GitHub y 3 actualizaciones. Ese mismo día (UTC) se publican siete registros CVE.10 de noviembre (UTC, tarde)
CISA asocia valoraciones exploitation: none a cuatro de los registros CVE. El JSON de KEV (versión de las 19:00 UTC) no contiene los CVE de la lista de SAP.11 de noviembre
Este sitio comprueba la lista de SAP, los registros CVE y KEV, y publica este artículo.
Fuentes (registros públicos)
Consultadas el 11 de noviembre de 2026. Primero figura la propia publicación de SAP. El texto de las SAP Notes exige iniciar sesión y no se comprobó.
- SAP, «Security Patch Day - November 2026» (10 de noviembre de 2026; en inglés) — support.sap.com
- Registros CVE (publicados el 10 de noviembre de 2026; asignados por SAP): CVE-2026-89126 / CVE-2026-76964 / CVE-2026-89103 / CVE-2026-120017 / CVE-2026-76965 / CVE-2026-109795 / CVE-2026-109803
- Catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA (comprobado con la versión del 10 de noviembre de 2026, 19:00 UTC) — cisa.gov / JSON
Historial de actualizaciones
2026-11-11: Primera versión, basada en la lista de SAP, siete registros CVE y KEV (versión del 10 de noviembre, 19:00 UTC). No se informa de explotación. No se ha comprobado el texto de las SAP Notes.
Lectura recomendada
- Tras una divulgación: qué hacer cuando se divulga una vulnerabilidad / decidir qué parchear primero (CVSS, EPSS, KEV)
- Otra publicación con muchas correcciones: el aviso de seguridad de Jenkins del 28 de octubre de 2026 (15 problemas)
- Preparación: la lista de comprobación del inventario de seguridad
- Términos: qué es un CVE / qué es CVSS