SAP parchea una vulnerabilidad del kernel con CVSS 10.0 que no requiere credenciales

El día de parches de seguridad de SAP de septiembre, celebrado el 8 de septiembre, parecía rutinario sobre el papel: 22 notas de seguridad. Cuatro de las nuevas notas eran HotNews, la banda de máxima gravedad de SAP, y una de ellas es tan grave como puede llegar a serlo un fallo de software empresarial.

Lectura relacionada: El Patch Tuesday de Microsoft de octubre de 2026 marca un récord con 1.407 correcciones · WordPress parchea Comment2Shell, un fallo en los comentarios que puede llevar a la toma de control del servidor.

Identificada como CVE-2026-44756 y bautizada OVERPASS por los investigadores que la descubrieron, la vulnerabilidad es un fallo de corrupción de memoria en el procesamiento del Extended Passport (EPP) por parte del kernel de SAP, la estructura de rastreo estándar que los clientes adjuntan a sus peticiones. Tiene la puntuación CVSS máxima posible, 10.0. Es explotable de forma remota y sin autenticación, existe por defecto en una amplia gama de componentes tecnológicos de SAP y permite a un atacante ejecutar comandos arbitrarios del sistema operativo en el host de SAP con privilegios administrativos de SAP, es decir, el compromiso total de los datos y procesos de negocio subyacentes.

Cómo funciona

Según Onapsis Research Labs, que identificó el fallo y lo divulgó de forma responsable a SAP, el error es una falta de comprobación de límites durante la deserialización de datos EPP. Cuando el kernel procesa campos de longitud suministrados externamente, la ausencia de validación provoca una violación de la seguridad de memoria. Un atacante no autenticado envía peticiones de red manipuladas con una cabecera EPP malformada, lo que desencadena un comportamiento indefinido que puede convertirse en ejecución de código.

SAP publicó la solución en la nota de seguridad 3747649, un parche de kernel que, a juicio de Onapsis, cierra todas las rutas de acceso descritas con una sola actualización. Cubre los kernels ABAP y Java, así como SAP Web Dispatcher versión 9.16. Otras versiones de Web Dispatcher, y Web Dispatcher como parte de SAP HANA Extended Application Services, no se ven afectadas, según SAP. Los kernels afectados incluyen las líneas KRNL64NUC/KRNL64UC 7.22 a 8.04 y las ramas principales de KERNEL de 7.22 a 9.20.

Onapsis estima que más de 10.000 sistemas SAP expuestos a internet ejecutan el componente vulnerable, según BleepingComputer.

Aún sin explotación

A 9 de septiembre, Onapsis afirmó no haber observado explotación activa en el mundo real, y las notas de SAP tampoco la mencionan. Esa es la buena noticia, y también la parte con corta vida útil. La propia guía de Onapsis señala que los atacantes han revertido históricamente los parches de SAP en unas 72 horas y que las herramientas asistidas por IA están acortando aún más esa ventana.

Los puntos de referencia son aleccionadores. OVERPASS se parece a las vulnerabilidades ICMAD de 2022, que también residían en código del kernel compartido de SAP y también puntuaban 10.0, y que demostraron lo grande que puede ser el radio de impacto de un fallo del kernel. La explotación masiva en 2025 de CVE-2025-31324, que el informe de Mandiant de 2026 calificó como la vulnerabilidad más explotada del año, mostró qué ocurre cuando un fallo crítico de SAP previo a la autenticación se convierte en arma antes de que los defensores reaccionen.

Qué hacer

La remediación es inusualmente limpia para un fallo tan grave. Onapsis recomienda tratar el parcheo como prioridad de emergencia:

• Inventariar primero. Compruebe la versión del kernel de SAP y el nivel de parche frente a la nota de seguridad 3747649, y trate cualquier sistema sin parchear como afectado.
• Aplicar el parche del kernel. Es la solución definitiva. Existen controles parciales a nivel HTTP en notas complementarias (3756304 y 3776034), pero Onapsis afirma que solo el parche del kernel cierra todas las vías de explotación.
• No esperar a una ventana de mantenimiento de la que se arrepentirá. Dada la accesibilidad desde las capas RFC y GUI, no solo desde la web, no hay un perímetro limpio tras el que esconderse.
• Vigilar el rearme. Una 10.0 que no necesita credenciales es un objetivo de alto valor para el ransomware y los intermediarios de acceso inicial; la ausencia de explotación hoy no es una previsión para el mes que viene.

Las otras notas HotNews del mismo día de parches también merecen revisión: CVE-2026-58231 en el Data Hub Adapter de SAP Commerce Cloud (también 10.0), CVE-2026-58240 (S4GET) en el Message Server de NetWeaver (9.8), CVE-2026-76969 en el Cloud Application Programming Model (9.4) y CVE-2026-66768 en SAP GUI for Java (9.0).