La publication du Patch Tuesday de novembre de SAP remédie à quatre vulnérabilités de gravité maximale qui pourraient permettre à des attaquants d’exécuter du code malveillant, de contourner l’authentification ou d’obtenir un accès non autorisé aux systèmes d’entreprise.
Selon le bulletin de sécurité SAP du 10 novembre, l’entreprise a publié 35 nouvelles notes de sécurité, quatre avis GitHub et trois mises à jour de notes précédemment publiées.
Les failles les plus graves touchent SAP NetWeaver, Web Dispatcher et Gateway, des composants chargés de traiter le trafic réseau, d’authentifier les utilisateurs et de connecter les applications métier. Deux d’entre elles pourraient permettre à des attaquants non authentifiés d’exécuter du code à distance sur les systèmes vulnérables.
Quatre vulnérabilités SAP obtiennent le score CVSS maximal
Les quatre vulnérabilités affichent un score CVSS de 10,0, soit le niveau de gravité maximal possible.
| CVE | Composant affecté | Vulnérabilité | CVSS |
|---|---|---|---|
| CVE-2026-76964 | SAP NetWeaver AS ABAP (Internet Communication Manager) | Corruption de mémoire | 10.0 |
| CVE-2026-89126 | SAP Web Dispatcher | Corruption de mémoire | 10.0 |
| CVE-2026-89103 | SAP Gateway | Contrôle d’accès défaillant | 10.0 |
| CVE-2026-120017 | SAP NetWeaver AS ABAP et ABAP Platform (SAML2 Service Provider) | Authentification manquante | 10.0 |
Les deux failles de corruption de mémoire, CVE-2026-76964 et CVE-2026-89126, affectent la manière dont les composants SAP traitent le trafic réseau.
Selon l’analyse technique de The Hacker News, toutes deux impliquent une gestion incorrecte des trames de contrôle WebSocket. Un attaquant non authentifié pourrait envoyer des requêtes spécialement conçues pour déclencher une corruption de mémoire et éventuellement exécuter du code arbitraire.
La CVE-2026-89103 cible SAP Gateway, qui gère les communications entre les applications SAP et les systèmes connectés. Dans certaines configurations, des attaquants pourraient usurper l’identité de serveurs d’applications de confiance et effectuer des opérations non autorisées.
De son côté, la CVE-2026-120017 affecte le fournisseur de services SAML 2.0 utilisé pour l’authentification unique. L’absence de contrôles d’authentification pourrait permettre à des attaquants d’usurper l’identité d’utilisateurs, y compris de comptes privilégiés, sur les systèmes concernés.
Ces vulnérabilités sont particulièrement préoccupantes, car elles affectent des services qui contrôlent les communications et les accès dans les environnements SAP.
D’autres vulnérabilités critiques affectent les applications SAP
Au-delà des quatre failles de gravité maximale, SAP a corrigé cinq autres vulnérabilités classées critiques.
Trois d’entre elles affichent un score CVSS de 9,9 :
- CVE-2026-109803 : injection de code dans le composant XML Forms de SAP NetWeaver Knowledge Management.
- CVE-2026-76965 : injection de commandes du système d’exploitation affectant l’ABAP Application Server de SAP NetWeaver et d’ABAP Platform.
- CVE-2026-109795 : absence de contrôles d’autorisation dans les composants S4CRM.
SAP a également corrigé une vulnérabilité de type falsification de requête intersites affectant Web Dispatcher et Internet Communication Manager, suivie sous l’identifiant CVE-2026-89119 et évaluée à 9,6. La note de sécurité correspondante fait également référence à la CVE-2026-120014.
Une autre faille critique, la CVE-2026-109798, est une vulnérabilité de type XML External Entity affectant SAP BusinessObjects Business Intelligence Platform, avec un score CVSS de 9,1.
Cette publication fait suite aux mises à jour de sécurité SAP d’octobre, qui corrigeaient une faille critique d’injection de code dans S/4HANA ainsi qu’une autre vulnérabilité de corruption de mémoire dans NetWeaver.
SAP avait également corrigé en octobre une vulnérabilité critique du Cloud SDK susceptible d’exposer les identifiants des applications , ce qui met en évidence les risques de sécurité qui touchent aussi bien les installations SAP traditionnelles que les applications connectées au cloud.
Quelles failles les administrateurs SAP doivent-ils corriger en priorité ?
SAP recommande à ses clients d’examiner ses notes de sécurité et de donner la priorité à l’application des correctifs disponibles.
Les équipes chargées de la sécurité et de SAP Basis doivent se concentrer sur les points suivants :
- Identifier les installations concernées. Dresser l’inventaire des composants NetWeaver, Web Dispatcher, Gateway et SAML2, puis comparer les versions déployées avec les notes de sécurité de SAP.
- Prioriser les services exposés. Examiner les interfaces Web Dispatcher et Internet Communication Manager accessibles via le réseau, en particulier celles qui sont joignables sans authentification.
- Vérifier les contrôles d’authentification et d’accès. Examiner les configurations SAML2, les fournisseurs d’identité de confiance et les règles de contrôle d’accès de Gateway.
- Appliquer les mises à jour de sécurité. Coordonner les correctifs du noyau et des applications avec les administrateurs SAP, en testant les changements avant leur déploiement en production.
- Vérifier la remédiation. Confirmer que les composants concernés exécutent des versions corrigées et examiner les journaux pertinents à la recherche d’activités suspectes.
Les quatre vulnérabilités de gravité maximale correspondent aux notes de sécurité SAP 3778530, 3778556, 3798345 et 3849308, respectivement.
Lorsqu’un correctif immédiat n’est pas possible, les administrateurs doivent suivre les recommandations d’atténuation documentées par SAP. Des restrictions réseau peuvent contribuer à réduire l’exposition, mais elles ne remplacent pas les mises à jour de sécurité requises. Certains composants concernés ne disposent d’aucune solution de contournement documentée.
Un processus structuré de gestion des correctifs et des vulnérabilités peut aider les entreprises à hiérarchiser les systèmes exposés tout en limitant les perturbations des applications métier critiques.
Le bulletin public de SAP ne fait état d’aucune exploitation active confirmée des quatre vulnérabilités de gravité maximale.
Cependant, la combinaison d’une potentielle exécution de code à distance, d’un contournement de l’authentification et d’un accès non autorisé aux systèmes fait de la publication de novembre une priorité pour les équipes de sécurité des entreprises.
Quatre scores parfaits suffisent à attirer l’attention de tous. Le véritable enjeu est de savoir à quelle vitesse les entreprises peuvent éliminer cette exposition.
Dans l’actualité de la cybersécurité, la mise à jour de sécurité de novembre 2026 de Samsung, qui corrige des vulnérabilités critiques d’Android et des failles propres aux Galaxy