SAP Security Patch Day de octubre 2026: qué aplica a tu sistema RISE

Antes de octubre: OVERPASS sigue siendo lo más urgente

Si tu landscape todavía no tiene el parche de septiembre, ese pendiente va antes que cualquier nota de este mes. OVERPASS es el nombre que Onapsis Research Labs dio a la vulnerabilidad CVE-2026-44756: una corrupción de memoria en el procesamiento del Extended Passport (EPP) del kernel de SAP, con CVSS 10.0, la calificación máxima. SAP la corrigió el 8 de septiembre de 2026 con la nota 3747649.

Es tan grave porque el EPP se procesa al abrir la sesión, antes de la autenticación, y ese código lo comparten el ICM y el Web Dispatcher (HTTP), el dispatcher (SAP GUI) y la capa de RFC. Un atacante sin credenciales podría ejecutar comandos del sistema operativo con los privilegios del usuario administrador de SAP. Los roles, las autorizaciones y las políticas de contraseñas no detienen este ataque. Afecta los kernels 7.22 a 9.20 y, por lo tanto, a S/4HANA, ECC, BW/4HANA, PI/PO, Solution Manager y Web Dispatcher.

En RISE, el kernel lo parcha SAP ECS. Durante septiembre y casi todo octubre, la aplicación de OVERPASS dependía de que el cliente la solicitara. A partir del 29 de octubre de 2026, SAP ECS empezó a aplicarla de forma obligatoria en todos los clientes. La única forma de posponerla era solicitar, a más tardar el 23 de octubre, una excepción mediante una carta de riesgo, en la que tu empresa asume formalmente el riesgo de seguir sin corregir. Esa excepción solo da margen hasta noviembre.

Si no aplicaste el parche ni pediste la excepción, cuenta con que SAP ECS lo va a aplicar y confirma con tu dCEM en qué ventana se hará en PRD, porque requiere reinicio. Si firmaste una carta de riesgo, el margen termina en noviembre, así que conviene agendar ya la ventana con tu dCEM y tener presente que la vulnerabilidad sigue abierta mientras no se aplique. La nota 3756304 documenta medidas temporales para la vía HTTP y la nota 3776034 responde las preguntas frecuentes.

Ese mismo Patch Day incluyó otra nota crítica de kernel, la 3759472, por falta de verificación de autenticación en el Message Server (CVSS 9.8, kernel 9.16 a 9.20). Conviene confirmar ambas en la misma conversación con SAP ECS.

Las notas que tocan a S/4HANA en RISE

Filtramos el boletín por los componentes que normalmente forman parte de un landscape de S/4HANA Cloud Private Edition: S4CORE, SAP_BASIS, SAP_UI, el kernel, el Web Dispatcher y HANA. La última columna indica quién atiende cada nota en el modelo estándar de responsabilidades de RISE.

Si tu empresa usa S/4HANA para CRM o la extensión S4CEXT, revisa también la actualización de la nota 3779985 (cross-site scripting, CVSS 6.1). Y si conectas BTP con tu sistema mediante SAP Cloud Connector, hay una corrección de prioridad baja para la versión 2.0 que instala y mantiene tu propio equipo.

Quién hace qué en RISE

En RISE with SAP, SAP ECS se encarga de la capa técnica: sistema operativo, base de datos HANA, kernel y Web Dispatcher. Las correcciones que viven en el código ABAP, como las de S4CORE, SAP_BASIS o SAP_UI, se implementan del lado del cliente con SNOTE o con la actualización de Support Package, y ahí entra tu equipo Basis.

En la práctica esto significa dos cosas. Para las notas de kernel y Web Dispatcher conviene confirmar con SAP ECS, a través de tu dCEM, en qué ventana se aplican en DEV, QA y PRD. Para las notas de código, alguien de tu lado tiene que revisar si aplican a tu nivel de Support Package, implementarlas en DEV, probar y transportar. Tu contrato puede tener variaciones sobre este reparto, así que vale la pena tenerlo por escrito.

Fuera de S/4HANA, pero en el boletín

Tres de las cuatro notas críticas no tocan el núcleo de S/4HANA. Conviene revisarlas si tu landscape incluye estos productos:

• SAP Cloud SDK for Python (nota 3797111, CVSS 10.0). SSRF en el manejo de OAuth2, corregido en la versión 0.45.2. Aplica a quien desarrolla aplicaciones en BTP con esta librería.
• SAP NetWeaver Visual Composer (nota 3805589, CVSS 9.9). Control de acceso roto en VC70RUNTIME 7.50, sobre NetWeaver Java.
• SAP Manufacturing Integration and Intelligence (nota 3800517, CVSS 9.1). Falta de verificación de autorización en el Configuration Service, XMII 15.4 y 15.5.
• Otros productos. SAP Commerce Cloud (CVSS 8.8), SAP NetWeaver Enterprise Portal, SAP Global Trade Services y varias librerías de desarrollo publicadas en GitHub.

Qué revisar esta semana

Confirma OVERPASS primero. Pregunta a tu dCEM si la nota 3747649 ya está aplicada en DEV, QA y PRD. Si no, confirma en qué ventana la aplicará SAP ECS o si tu empresa tiene una excepción por carta de riesgo.

Ubica tu versión de S4CORE. Si está entre 105 y 109, la nota 3798788 aplica y es la primera de la lista. Revisa en SAP for Me si tu Support Package ya la incluye o si hay que implementarla con SNOTE.

Pregunta a SAP ECS por el kernel. Confirma con tu dCEM cuándo se aplica la corrección de la nota 3626303 y si requiere una ventana con reinicio en PRD.

Deja registro. Anota qué notas aplicaste, en qué sistemas y en qué fecha. Esa bitácora te ahorra tiempo en la siguiente auditoría y en el siguiente Patch Day.

Fuentes consultadas

• SAP Support, boletín SAP Security Patch Day de octubre 2026.
• SAP Support, preguntas frecuentes y calendario de SAP Security Notes.
• SAP Support, boletín SAP Security Patch Day de septiembre 2026 (nota 3747649).
• Onapsis, análisis técnico de OVERPASS (CVE-2026-44756).
• Security Online, cobertura del Patch Day de octubre 2026.