Falla de severidad máxima en el kit de SAP para Python permite robar credenciales de aplicaciones en su nube BTP

SAP publicó el 13 de octubre su actualización mensual de seguridad, con 16 notas nuevas y 4 avisos de seguridad en GitHub. La falla más grave, de severidad máxima, 10 sobre 10, está en SAP Cloud SDK for Python, el kit oficial para programar aplicaciones y agentes de IASistema de inteligencia artificial que actúa de forma autónoma para cumplir una tarea, por ejemplo usando programas o conectándose a internet, sin intervención humana en cada paso. en Python sobre SAP Business Technology Platform (BTP), la nube de la empresa. Según el aviso, un atacante remoto sin privilegios puede usarla para robar credenciales.

Qué es la falla

Muchas aplicaciones construidas sobre BTP atienden a varios clientes a la vez, cada uno con su propio subdominio: son aplicaciones multiinquilino. Cuando la aplicación pide un permiso de acceso (un token OAuth2) en nombre de un cliente, el SDK arma esa petición a partir del subdominio que recibe. Si un atacante controla ese dato, puede desviar la petición a un servidor propio y quedarse con las credenciales de la aplicación.

En términos técnicos, es una falsificación de solicitudes del lado del servidor (SSRF, CWE-918), registrada como CVE-2026-89111. El parámetro vulnerable es tenant_subdomain. Se ataca por red, sin autenticación y sin interacción del usuario, y el impacto sale del componente vulnerable: compromete la confidencialidad y la integridad de los sistemas a los que esas credenciales dan acceso.

A quién afecta

Afecta a SAP Cloud SDK for Python en las versiones anteriores a la 0.45.2, usado en aplicaciones multiinquilino de BTP. Las aplicaciones que no reciben el subdominio desde afuera tienen menos exposición, pero SAP recomienda actualizar igual.

La misma actualización corrige otras tres fallas críticas:

• CVE-2026-89110, CVSS 9,9: control de acceso roto en SAP NetWeaver Visual Composer 7.50, que permite a un usuario con pocos privilegios comprometer el sistema.
• CVE-2026-89107, CVSS 9,9: inyección de código en SAP S/4HANA, en la gestión de reglas de sustitución y validación (S4CORE 105 a 109).
• CVE-2026-89108, CVSS 9,1: falta de verificación de permisos en SAP Manufacturing Integration and Intelligence 15.4 y 15.5, que permite a un administrador crear una cuenta con más privilegios en el sistema de base.

Estado de explotación

Sin explotación conocida. Ni el aviso de SAP ni BleepingComputer mencionan ataques ni código de prueba público.

Antecedentes

SAP tuvo varias fallas de severidad máxima en los últimos meses. La de Commerce Cloud corregida en agosto, CVE-2026-58231, se empezó a explotar días después del parche, según la firma Defused. En septiembre, la empresa corrigió CVE-2026-44756, una corrupción de memoria en el núcleo de SAP que los investigadores de Onapsis llamaron OVERPASS; Onapsis estimó en más de 10.000 los sistemas expuestos en internet. Desde noviembre de 2021, CISA sumó 14 fallas de SAP a su catálogo de vulnerabilidades explotadas, tres de ellas usadas en ataques de secuestro de datos (ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso.).

Qué hacer

• Actualizar SAP Cloud SDK for Python a la 0.45.2 o superior en todas las aplicaciones que lo usan.
• Si no se puede actualizar ya, validar el valor de tenant_subdomain contra una lista de subdominios registrados antes de pasarlo al SDK, como indica SAP.
• Cambiar las credenciales de cliente de las aplicaciones expuestas si hay dudas sobre su uso.
• Aplicar en la misma ventana las notas de NetWeaver Visual Composer, S/4HANA y Manufacturing Integration and Intelligence.

Ficha técnica

• CVE: CVE-2026-89111
• CVSS: 10,0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N)
• CWE: CWE-918, falsificación de solicitudes del lado del servidor
• Producto: SAP Cloud SDK for Python
• Versión corregida: 0.45.2
• Aviso del fabricante: SAP Security Patch Day, octubre de 2026, aviso de GitHub GHSA-4mv3-jxxm-9cx2
• Catálogo KEV de CISA: no figura (consultado el 13 de octubre)