Dos correcciones críticas de septiembre

CERT-EU recoge dos vulnerabilidades corregidas por SAP en su Patch Day del 8 de septiembre. CVE-2026-44756, denominada OVERPASS, afecta al procesamiento de Extended Passport en el kernel y tiene CVSS 10. CVE-2026-58240, S4GET, afecta a la autenticación de componentes en NetWeaver Message Server y tiene CVSS 9,8.

Ambas son explotables remotamente sin autenticación. El aviso distingue la descripción técnica de SAP de la evaluación de Onapsis, que atribuye a su explotación la ejecución de comandos bajo la cuenta del sistema que ejecuta SAP.

Qué comprobar

Las referencias de corrección son SAP Security Notes 3747649 y 3759472. El primer fallo afecta a varias versiones de KERNEL, KRNL64UC, KRNL64NUC y WEBDISP; el segundo a KERNEL 9.16, 9.18, 9.19 y 9.20. Hay que verificar el componente y su nivel de parche, no solo el nombre comercial de la aplicación.

Análisis de Defensops: una actualización ligada a procesos de negocio

Nuestra recomendación es coordinar la revisión entre administración SAP, infraestructura y seguridad. Para priorizar hacen falta versión, accesibilidad y criticidad del proceso que depende de cada sistema. Un servidor de pruebas con datos reales o conectividad privilegiada también debe entrar en el inventario.

Proponemos documentar:

  1. Componentes instalados y correspondencia con las notas de seguridad.
  2. Ruta de actualización aplicable, dependencias y método de recuperación.
  3. Ventana de mantenimiento y pruebas funcionales acordadas con el negocio.
  4. Validación del nivel de parche después del cambio en los sistemas incluidos.
  5. Excepciones pendientes, su responsable y el plazo de resolución.

La revisión de exposición no debe consistir en cerrar puertos sin evaluar quién los necesita. Es preferible comprobar los flujos reales y aplicar restricciones compatibles con el servicio mientras se organiza el cambio. Las medidas temporales necesitan fecha de caducidad y una comprobación posterior.

Para una investigación proponemos contrastar actividad administrativa, registros de componentes y eventos del sistema operativo con los cambios autorizados. Un error de servicio no acredita explotación; una secuencia no explicada de registros y modificaciones merece una evaluación más profunda.

No presentamos el boletín como prueba de una brecha ni afirmamos explotación activa sin una referencia que la confirme. Su utilidad está en identificar una exposición, organizar una corrección verificable y decidir con evidencias si hace falta respuesta adicional.

Fuentes y fecha

Aviso completo de CERT-EU. SAP: notas de seguridad de septiembre de 2026. Patch Day: 8 de septiembre; revisión editorial: 27 de septiembre. Análisis operativo propio de Defensops.