SAP corrige des failles critiques dans NetWeaver et S/4HANA

SAP a publié 22 notes de sécurité, nouvelles ou mises à jour, à l'occasion de son Security Patch Day d'octobre 2026. Quatre d'entre elles concernent des vulnérabilités jugées critiques. Les correctifs portent sur le Cloud SDK pour Python, NetWeaver Visual Composer, S/4HANA et Manufacturing Integration and Intelligence.

L'éditeur allemand de logiciels d'entreprise a publié ces notes mardi. Il n'a pas indiqué qu'une de ces failles soit exploitée dans la nature.

Une faille de gravité maximale dans le Cloud SDK pour Python

Le problème le plus grave est CVE-2026-89111, avec un score CVSS de 10/10. Il s'agit d'une faille de type SSRF (server-side request forgery, ou falsification de requêtes côté serveur) dans la gestion OAuth2 du Cloud SDK pour Python de SAP. Elle touche les applications multi-locataires qui tournent sur BTP, la Business Technology Platform de SAP.

SAP a décrit le problème dans un bulletin publié sur GitHub : "Un attaquant qui contrôle le paramètre tenant_subdomain peut rediriger les requêtes de jetons OAuth2 vers un serveur sous son contrôle, ce qui entraîne l'exfiltration des identifiants du client."

En manipulant ce seul paramètre, un attaquant peut donc envoyer les requêtes de jetons vers une infrastructure qu'il contrôle et récupérer les identifiants client que l'application utilise pour s'authentifier.

Visual Composer et S/4HANA

La deuxième faille critique, CVE-2026-89110 (score CVSS de 9,9/10), est un défaut de contrôle d'accès dans une fonctionnalité du portail de NetWeaver Visual Composer. NetWeaver est la plateforme technologique sur laquelle reposent de nombreuses applications métier de SAP.

Selon Onapsis, spécialiste de la sécurité des applications d'entreprise, la faille pourrait permettre à "un attaquant disposant de faibles privilèges d'invoquer des opérations internes sur un système distant préconfiguré". Son exploitation pourrait aboutir à la compromission totale de ce système distant.

CVE-2026-89107, également notée 9,9/10, est une faille d'injection de code dans S/4HANA, la suite ERP de SAP. Des attaquants authentifiés pourraient s'en servir pour exécuter du code ABAP arbitraire, le langage de programmation utilisé dans l'ensemble des logiciels de gestion de SAP.

D'après Onapsis, la cause profonde se situe dans le processus de définition des règles, qui ne valide pas correctement les entrées. Un attaquant qui détient un rôle métier spécifique dans les Fiori Applications, l'interface utilisateur web de SAP, peut soumettre des données forgées et potentiellement prendre le contrôle du système vulnérable.

Création de comptes administrateur dans MII

La quatrième vulnérabilité critique est CVE-2026-89108 (score CVSS de 9,1/10), une absence de contrôle d'autorisation dans Manufacturing Integration and Intelligence (MII).

Un attaquant disposant déjà de privilèges XMII Admin pourrait l'exploiter pour créer un compte administrateur sur le serveur d'applications Java sous-jacent. À partir de là, il pourrait compromettre entièrement le système.

Correctifs de gravité élevée

La fournée d'octobre comprend aussi des correctifs pour des failles de gravité élevée dans Commerce Cloud, NetWeaver et l'ABAP Platform. Selon la faille, des attaquants pourraient injecter des commandes SQL arbitraires, faire planter un processus ou contourner des restrictions.

SAP conseille à ses clients d'appliquer les mises à jour au plus vite.

Pourquoi c'est important

Les systèmes SAP abritent souvent les données et les processus dont les entreprises dépendent le plus : finance, chaînes d'approvisionnement, production et fichiers clients. Une grande partie de ces failles exigent un certain niveau d'authentification ou un rôle particulier. Il ne faut pas y voir un risque faible. Les comptes à faibles privilèges et les rôles métier sont disséminés dans les grandes organisations et peuvent être hameçonnés, réutilisés ou détournés par des personnes en interne. Ici, ils peuvent suffire à prendre le contrôle d'un système.

La faille du Cloud SDK se distingue parce qu'elle vise les identifiants plutôt que l'exécution de code. Dans les environnements cloud multi-locataires, des identifiants client volés pourraient offrir à un attaquant un point d'ancrage plus difficile à repérer qu'un serveur planté. Les équipes qui exploitent des applications BTP développées avec le SDK Python devraient vérifier la version utilisée et si les données liées au locataire se retrouvent dans les requêtes de jetons.

Cette publication tombe en pleine semaine chargée en correctifs. Elle fait suite au Patch Tuesday d'octobre de Microsoft et à une importante série d'avis ICS de Siemens et Rockwell. De quoi raviver le problème bien connu des priorités. Les applications métier sont souvent corrigées plus lentement que les postes de travail, en raison des tests nécessaires et des contraintes de disponibilité. Le prix d'une mise à jour oubliée s'est vu récemment, lorsqu'un correctif PeopleSoft non appliqué a été désigné comme responsable d'une fuite majeure.

Aucune exploitation n'a été signalée pour l'instant. Il faudra surveiller si des analyses techniques ou du code de preuve de concept apparaissent dans les semaines à venir, car cela réduit souvent le délai dont disposent les défenseurs pour appliquer les correctifs.