Un estudio conjunto de Onapsis Research Labs y Recorded Future analiza más de 1,2 millones de eventos de inteligencia de amenazas. Según los autores, cada vez más grupos de ransomware apuntan a SAP y el plazo entre el parche y la primera explotación ha pasado de meses a días.
Los atacantes ya no esperan a que los defensores se pongan al día. Según un nuevo informe de amenazas de Onapsis Research Labs y Recorded Future, la mediana del tiempo entre la publicación de una SAP Security Note y la primera explotación pública verificada o prueba de concepto ha pasado de 489 días para las vulnerabilidades corregidas en 2021 a entre uno y tres días para las corregidas en 2025 y 2026.
El informe, titulado «Days to Zero» y publicado en octubre de 2026, analiza 1.238.037 eventos de la recopilación de Recorded Future en la web abierta, profunda y oscura entre 2023 y el primer semestre de 2026. Los autores filtraron el material para quedarse con la relevancia genuina para SAP de origen humano y verificaron caso por caso las afirmaciones de mayor impacto. Según su recuento, los documentos de amenazas relevantes pasaron de 791 en 2023 a 2.458 en 2025, un aumento del 211 %, con unos 2.600 estimados para 2026. La actividad en canales clandestinos operados por actores creció un 123 %, de 419 a 933 documentos. Los investigadores subrayan que las cifras son deliberadamente conservadoras y que lo relevante es la tendencia, no el volumen absoluto.
El interés del ransomware se ha ampliado de forma notable. En 2023 aparecieron ocho grupos distintos de ransomware y extorsión en contenidos relevantes para SAP, y LockBit concentraba la mayor parte del volumen. En 2025 el informe contabiliza 26 grupos, entre ellos Cl0p, Akira, BianLian, Qilin, RansomEXX, Medusa y Play; en todo el periodo, 30 aparecen al menos una vez. Los autores señalan el cifrador de Qilin, que según la documentación finaliza procesos de SAP antes de cifrar, y 11 víctimas del sitio de filtraciones de Qilin con «SAP» en los nombres de archivo exfiltrados en unos 40 días a comienzos de 2026. Añaden que la alianza formada por Scattered Spider, ShinyHunters y LAPSUS$ publicó en agosto de 2025 un exploit funcional para CVE-2025-31324.
Esa vulnerabilidad crítica de día cero en SAP NetWeaver sirve al informe como caso de estudio. Informes independientes de Verizon y Mandiant la situaron entre las más explotadas de 2025. Según los autores, la campaña se desarrolló en tres oleadas: operadores vinculados a China como UNC5221 y Earth Lamia empezaron con reconocimiento en enero y explotación activa en febrero y marzo; desde finales de abril se sumaron grupos de ransomware como BianLian, RansomEXX y Qilin; y una prueba de concepto pública en agosto abrió la puerta al uso masivo. Unas dos semanas después de la divulgación, los investigadores catalogaron 1.284 instancias expuestas, 474 de ellas ya comprometidas.
En torno a ese acceso se ha formado un mercado en funcionamiento. Los anuncios de SAP observados van de 500 a 30.000 dólares, frente a las referencias de Verizon para 2026 de unos 1.300 dólares por acceso administrativo y 700 por acceso de usuario. Entre los ejemplos citados figuran el acceso mediante webshell a un sistema NetWeaver de una empresa con 3.000 millones de dólares de facturación por 500 dólares y el acceso de gestión a los sistemas SAP de un banco israelí por 30.000. Como comparación, el programa de adquisición de exploits de Crowdfense lista una ejecución remota de código en SAP por hasta 250.000 dólares. Incluso las herramientas de uso masivo han llegado: un constructor de ransomware anunciado en 2026 incluía a empresas que ejecutan SAP entre sus objetivos desde solo 500 dólares.
El informe describe la inteligencia artificial como un acelerador en ambos bandos. SAP publicó 165 Security Notes en 2023, 141 en 2024 y 216 en 2025, y 111 en el primer semestre de 2026, lo que encamina el año hacia un nuevo máximo. Onapsis afirma que su propia producción de investigación se ha duplicado aproximadamente en el último año con técnicas asistidas por IA, mientras los atacantes emplean herramientas similares para convertir las fallas en armas con mayor rapidez. El informe cita además M-Trends 2026 de Mandiant, que sitúa el tiempo medio hasta la explotación en menos siete días para 2025, y datos de VulnCheck según los cuales el intervalo entre la divulgación y la inclusión en el catálogo KEV bajó de 8,5 a 5 días. Una campaña de 2026 muestra que la superficie de ataque va más allá de los productos de SAP: el gusano autorreplicante «Mini Shai-Hulud» de TeamPCP comprometió paquetes npm oficiales de SAP y recopiló credenciales y claves de nube sin explotar ninguna vulnerabilidad de SAP.
Las recomendaciones se articulan en cuatro pilares. Tratar las SAP HotNews y las Security Notes de alta prioridad con cadencia de emergencia y priorizar el resto según la probabilidad de explotación y el impacto en el negocio; el parcheo trimestral, sostienen los autores, ya no basta para SAP expuesto a internet. Donde no se pueda parchear, desplegar monitorización a nivel de aplicación, también en entornos de desarrollo y QA. Extender los controles DevSecOps al código personalizado y a los pipelines de CI/CD. Y apoyarse en inteligencia de amenazas específica de SAP que se actualice más rápido que el ciclo mensual del Patch Day.
Conviene valorar la fuente. Onapsis vende soluciones de seguridad para SAP y las conclusiones reflejan el análisis de Onapsis y Recorded Future. Los propios autores advierten de que el clasificador es fiable para la forma de la tendencia y no para recuentos exactos, de que los recuentos de grupos tienen un margen de uno o dos y de que la cifra de tiempo hasta la explotación de 2023 se basa en un único caso de 346 días. También subrayan que SAP ha corregido todas las vulnerabilidades explotadas que se mencionan; el riesgo, escriben, procede de atacantes más capaces y de sistemas sin parchear o expuestos, no del software en sí. SAP no es autor ni editor del informe.
El Dr. Jakob Jung es redactor jefe de Security Storage y Channel Germany. Lleva más de 20 años trabajando en el periodismo especializado en TI. A lo largo de su carrera ha colaborado con Computer Reseller News, Heise Resale, Informationweek, Techtarget (almacenamiento y centros de datos) y ChannelBiz. Además, colabora como freelance con numerosas publicaciones del sector de las TI, entre las que se incluyen Computerwoche, Channelpartner, IT-Business, Storage-Insider y ZDnet. Sus temas principales son el canal, el almacenamiento, la seguridad, los centros de datos, los sistemas ERP y CRM.
Contacto – Contacto por correo electrónico: jakob.jung@security-storage-und-channel-germany.de