1 artículo con esta etiqueta
El 10 de noviembre de 2026, el Security Patch Day de SAP publicó 35 notas de seguridad nuevas y 4 avisos de seguridad en GitHub, y actualizó 3 notas anteriores. La lista de SAP marca 9 filas como Critical. Cuatro tienen CVSS 10.0: corrupción de memoria en el Internet Communication Manager (ICM) de NetWeaver AS ABAP (CVE-2026-76964) y en SAP Web Dispatcher (CVE-2026-89126), control de acceso roto en SAP Gateway (CVE-2026-89103) y falta de autenticación en el proveedor de servicios SAML2 de AS ABAP (CVE-2026-120017). Los registros CVE describen los cuatro como sin autenticación, por la red y sin interacción del usuario (CVE-2026-120017 en ciertas configuraciones). Tres tienen CVSS 9.9 (CVE-2026-109803, CVE-2026-76965, CVE-2026-109795) y exigen un inicio de sesión con pocos privilegios. La lista de SAP no menciona explotación, y ninguno de los CVE de la página está en el catálogo KEV de CISA (versión del 10 de noviembre, 19:00 UTC). De las valoraciones de CISA asociadas a los registros CVE, las cuatro que pudimos ver dicen exploitation: none. El texto de las SAP Notes exige iniciar sesión y este sitio no lo ha leído. Conclusión de este sitio: parchee primero Web Dispatcher e ICM expuestos a internet, confirme los niveles corregidos en las SAP Notes y planifique la actualización incluido el reinicio.