SAP corrige una vulnerabilidad crítica en S/4HANA que permite ejecutar código ABAP arbitrario
SAP ha publicado en su día de parches de octubre una corrección para CVE-2026-89107, un fallo de puntuación 9.9 sobre 10 en el componente de gestión de reglas de sustitución y validación de S/4HANA. Un usuario autenticado con ciertos permisos de negocio podría comprometer por completo el sistema.
Qué ha pasado
SAP ha incluido en su Security Patch Day del 13 de octubre de 2026 la corrección de CVE-2026-89107, una vulnerabilidad crítica en SAP S/4HANA, concretamente en la funcionalidad "Manage Substitution/Validation Rules". La nota de seguridad asociada es la 3805589.
El problema es que la definición de reglas, que se apoya en un lenguaje de scripting propio, no valida suficientemente la entrada que recibe. Un atacante autenticado que disponga de determinados privilegios de negocio puede enviar contenido especialmente manipulado que la lógica de procesamiento de reglas interpreta como código ABAP ejecutable.
La explotación con éxito permite ejecutar código ABAP arbitrario y comprometer el sistema por completo, con impacto alto en confidencialidad, integridad y disponibilidad. De ahí su puntuación CVSS de 9,9 sobre 10: el ataque es de red, de baja complejidad, no requiere interacción del usuario y permite salir del ámbito del componente vulnerable.
A quién afecta
Afecta a los clientes que utilizan SAP S/4HANA con la funcionalidad de gestión de reglas de sustitución y validación. SAP no ha publicado en el boletín consultado el detalle de versiones concretas afectadas y corregidas; esa información figura en la nota de seguridad 3805589, accesible desde el portal de soporte de SAP.
El requisito de autenticación previa limita el acceso a usuarios con cuenta válida y determinados permisos de negocio, pero no reduce la gravedad: en entornos SAP es habitual que muchos usuarios internos, proveedores o integraciones dispongan de ese tipo de perfiles.
Estado de la explotación
Por el momento no hay constancia de explotación activa: la vulnerabilidad no figura en el catálogo KEV de CISA y no se conoce ningún exploit público. Tampoco dispone todavía de puntuación EPSS, por lo que no hay una estimación de probabilidad de explotación a corto plazo.
Conviene no bajar la guardia: los sistemas SAP son un objetivo habitual y, históricamente, las vulnerabilidades críticas de ejecución de código en S/4HANA han atraído la atención de los atacantes en cuestión de semanas desde la publicación del parche.
Qué hacer
La recomendación es aplicar la corrección de SAP cuanto antes, siguiendo el procedimiento habitual de validación en un entorno de pruebas previo al productivo.
- Localizar e implantar la nota de seguridad SAP 3805589 en todos los sistemas S/4HANA afectados.
- Revisar el resto de notas publicadas en el SAP Security Patch Day de octubre de 2026 y priorizar según criticidad.
- Revisar quién tiene asignados los permisos de negocio necesarios para definir reglas de sustitución y validación, y retirar los que no estén justificados.
- Comprobar que los sistemas SAP no estén expuestos directamente a Internet y que el acceso se realice a través de VPN o pasarelas controladas.
- Activar y revisar el registro de auditoría de seguridad de SAP en busca de definiciones o modificaciones de reglas inesperadas.
Fuentes
Tecnologías afectadas
Vulnerabilidades (1)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-89107 | Crítica (9.9) | — | 12/10/2026 | Pendiente de análisis |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.