SAP corrigió dos vulnerabilidades críticas (CVSS 10.0 y 9.8) en SAP Kernel, Web Dispatcher y NetWeaver Message Server que se pueden explotar a distancia y sin autenticación. Según los investigadores, permiten ejecutar comandos en el servidor y comprometer por completo el sistema SAP y sus datos de negocio. Si tu empresa usa SAP, aplica cuanto antes las SAP Security Notes 3747649 y 3759472.
Qué está pasando
El 8 de septiembre de 2026, en su Security Patch Day mensual, SAP publicó correcciones para dos vulnerabilidades críticas que afectan a una amplia gama de sus productos. Ambas fueron descubiertas por Onapsis Research Labs y pueden explotarse de forma remota sin necesidad de credenciales.
La más grave, CVE-2026-44756, apodada "OVERPASS" (CVSS 10.0), es una corrupción de memoria en la librería de SAP Kernel que procesa el Extended Passport (EPP). Falta validar los límites al deserializar los datos EPP, por lo que un atacante puede enviar una petición de red con un encabezado EPP malformado. SAP indica que esto puede causar comportamiento indefinido y la caída del programa; Onapsis afirma que además permite ejecutar comandos del sistema operativo en el servidor SAP con privilegios administrativos de SAP.
La segunda, CVE-2026-58240, apodada "S4GET" (CVSS 9.8), es una falta de verificación de autenticación en SAP NetWeaver Message Server (componente BC-CST-MS). El Message Server no comprueba adecuadamente la autenticidad de los componentes internos que se registran, de modo que un atacante con acceso de red puede registrar componentes no autorizados. Según Onapsis, así puede convertirse en un nodo de confianza del clúster SAP, que el Message Server propaga a todos los servidores de aplicación, y obtener ejecución remota de código como el usuario del sistema operativo que ejecuta SAP.
Onapsis advierte que S4GET es alcanzable por el mismo puerto público al que se conectan los clientes SAP GUI, por lo que no se puede bloquear con un firewall sin impedir el inicio de sesión de los usuarios. Esto hace que aplicar el parche sea la única protección efectiva.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-44756 | 10.0 | "OVERPASS": corrupción de memoria en la librería de SAP Kernel que procesa el Extended Passport (EPP) por falta de validación de límites al deserializar datos; un atacante sin autenticación puede enviar un encabezado EPP malformado y, según Onapsis, ejecutar comandos del sistema operativo con privilegios administrativos de SAP. Corregida en SAP Security Note 3747649. |
| CVE-2026-58240 | 9.8 | "S4GET": falta de verificación de autenticación en SAP NetWeaver Message Server (BC-CST-MS); un atacante con acceso de red puede registrar componentes no autorizados, convertirse en nodo de confianza del clúster y, según Onapsis, ejecutar código remoto como el usuario que ejecuta SAP. Corregida en SAP Security Note 3759472. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| SAP KRNL64NUC (CVE-2026-44756) | 7.22, 7.22EXT | — |
| SAP KRNL64UC (CVE-2026-44756) | 7.22, 7.22EXT, 7.53, 8.04 | — |
| SAP KERNEL (CVE-2026-44756) | 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20 | — |
| SAP WEBDISP (Web Dispatcher) (CVE-2026-44756) | 9.16, 9.18, 9.19, 9.20 | — |
| SAP KERNEL / NetWeaver Message Server (CVE-2026-58240) | 9.16, 9.18, 9.19, 9.20 | — |
Qué hacer ahora
- Identifica qué versiones de SAP Kernel, KRNL64NUC, KRNL64UC y Web Dispatcher (WEBDISP) tienes instaladas en todos tus sistemas SAP.
- Aplica cuanto antes la SAP Security Note 3747649 para corregir CVE-2026-44756 (OVERPASS), actualizando los productos afectados a las versiones indicadas por SAP.
- Aplica cuanto antes la SAP Security Note 3759472 para corregir CVE-2026-58240 (S4GET) en SAP NetWeaver Message Server, actualizando el Kernel a la versión indicada por SAP.
- Verifica después de actualizar que todos los servidores de aplicación, Message Server y Web Dispatcher quedaron en la versión corregida.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
SAP suele ser el corazón del negocio (finanzas, logística, remuneraciones), y estas fallas no requieren credenciales, así que trátalas como urgentes aunque no se reporte explotación activa. Empieza por los sistemas productivos y por cualquier Web Dispatcher o Message Server accesible desde fuera de la red interna o desde redes de terceros, y no olvides los ambientes de desarrollo y calidad, que suelen quedar rezagados y comparten credenciales o conexiones con producción.
Coordina con tu partner o equipo Basis una ventana de mantenimiento corta y planifica el reinicio del Kernel con anticipación; ten un respaldo reciente y probado antes de actualizar. Mientras parchas, revisa los registros del Message Server en busca de registros de servidores de aplicación desconocidos y procesos inusuales ejecutados por el usuario del sistema operativo de SAP.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio → Respaldo y MonitoreoLos respaldos inmutables (RPO desde 15 minutos) te dejan un punto de restauración limpio si la falla llega a ser explotada.
Conocer el servicio →Referencias
- https://support.sap.com/en/my-support/knowledge-base/security-notes-news/september-2026.html
- https://onapsis.com/blog/sap-overpass-remediation/
- https://onapsis.com/blog/sap-security-patch-day-september-2026/
- https://www.cve.org/CVERecord?id=CVE-2026-44756
- https://www.cve.org/CVERecord?id=CVE-2026-58240
- https://onapsis.com/blog/s4get-cve-2026-58240-sap-message-server-threat-advisory/