SAP ha abordado 20 fallos de seguridad en varios productos en sus actualizaciones de seguridad de octubre de 2026, incluyendo una vulnerabilidad de máxima severidad en el SDK de Python para la nube.
La vulnerabilidad, registrada como CVE-2026-89111, puede ser explotada por atacantes remotos sin privilegios para robar credenciales. Esta falla afecta a las aplicaciones multi-tenant en la plataforma SAP Business Technology Platform (BTP).
Según un aviso emitido por SAP, «el SDK de Cloud para Python contiene una vulnerabilidad SSRF de OAuth2 que permite a un atacante que controle el parámetro tenant_subdomain redirigir solicitudes de token OAuth2 a un servidor controlado por el atacante, lo que provoca la exfiltración de credenciales del cliente». SAP recomienda validar el tenant_subdomain contra una lista de permitidos antes de realizar cualquier llamada al SDK.
Qué significa para su organización
Las organizaciones que utilizan el SDK de Python de SAP deben revisar sus configuraciones de seguridad y validar los parámetros de tenant_subdomain para evitar la explotación de esta vulnerabilidad. Es recomendable implementar una lista de permitidos para los subdominios de inquilinos registrados y aplicar las actualizaciones de seguridad de inmediato para mitigar el riesgo de robo de credenciales.
