Publicado en

Vulnerabilidad Crítica en SAP Commerce Cloud: Riesgo de Ejecución de Código con Puntuación Máxima (10/10)

•Publicado enVulnerabilidades

SAP corrige un fallo de seguridad crítico que permite el control total de Commerce Cloud

SAP ha publicado una serie de parches de seguridad urgentes para abordar una vulnerabilidad de severidad máxima que afecta a su plataforma Commerce Cloud (específicamente al Data Hub Adapter). Este fallo, identificado como CVE-2026-58231, ha recibido la puntuación más alta posible en el sistema CVSS: un 10.0 sobre 10.0.

La gravedad de esta vulnerabilidad radica en que permite a atacantes no autenticados ejecutar código arbitrario de forma remota, lo que podría derivar en el compromiso total de la confidencialidad, integridad y disponibilidad de las aplicaciones empresariales afectadas.

Análisis técnico: ¿En qué consiste el fallo?

Según los informes técnicos, el problema se debe a una combinación de controles de autorización insuficientes y una validación de entrada deficiente. Un atacante externo podría abusar de un cliente de autenticación predeterminado y enviar datos maliciosos a funciones específicas del sistema que carecen de las verificaciones necesarias.

Al lograr la ejecución de código arbitrario, el atacante no solo toma el control de la aplicación, sino que puede comprometer componentes internos del ecosistema SAP, facilitando el movimiento lateral dentro de la red corporativa.

Otras vulnerabilidades críticas en la actualización de agosto

Además del fallo principal en Commerce Cloud, la actualización de seguridad de SAP de agosto de 2026 aborda otros tres fallos de alta criticidad:

  • CVE-2026-44772 (CVSS 9.9): Vulnerabilidad de inyección de código en Manufacturing Integration and Intelligence.
  • CVE-2026-34265 (CVSS 9.8): Error de escritura fuera de límites en Application Server ABAP que podría provocar corrupción de memoria y robo de información sensible.
  • CVE-2026-44758 (CVSS 9.1): Vulnerabilidad que permite la ejecución de comandos en el sistema operativo subyacente mediante inyección de plantillas (SSTI).

Recomendaciones para las empresas

Desde el punto de vista de la gestión de riesgos y la ciberseguridad corporativa, es imperativo que las organizaciones que utilicen soluciones SAP tomen las siguientes medidas inmediatas:

  1. Aplicación de parches: Actualizar SAP Commerce Cloud a la versión corregida y proceder con el despliegue de la versión actualizada de forma prioritaria.
  2. Mitigación temporal: Si la actualización inmediata no es posible, se recomienda configurar un filtrado de direcciones IP (IP Filter Set) para restringir el acceso a los puntos de conexión (endpoints) vulnerables únicamente a redes de confianza.
  3. Revisión de configuraciones: Verificar que no existan clientes de autenticación por defecto activos en entornos de producción.

La seguridad de las plataformas de comercio electrónico y gestión de datos es fundamental para la continuidad del negocio. Ignorar estas actualizaciones críticas expone a la organización a brechas de datos masivas y paradas operativas no planificadas.

Fuentes