Une vulnérabilité dans les logiciels SAP pourrait permettre à un utilisateur disposant d’un accès légitime d’obtenir un contrôle bien plus étendu que prévu sur un système d’entreprise.
Les mises à jour de sécurité de SAP du 13 octobre corrigent une faille critique d’injection de code dans S/4HANA ainsi qu’une vulnérabilité distincte de corruption de mémoire, de gravité élevée, qui affecte NetWeaver et Web Dispatcher.
Pour les entreprises qui exploitent des systèmes concernés, l’exposition dépend de la configuration des logiciels et des personnes qui peuvent accéder aux composants vulnérables.
Les entrées de règles métier pourraient exécuter du code non autorisé
CVE-2026-89107, une vulnérabilité critique notée 9,9 selon le score CVSS, affecte la fonction de gestion des règles de substitution et de validation dans S/4HANA. Selon l’analyse des correctifs d’octobre d’Onapsis, une validation insuffisante des entrées pourrait permettre à des définitions de règles spécialement conçues d’exécuter du code ABAP arbitraire.
L’exploitation nécessite un compte authentifié doté d’un rôle métier SAP Fiori spécifique. Les attaquants disposant de ces privilèges pourraient potentiellement prendre le contrôle total du système concerné.
Les versions 105 à 109 de S4CORE sont vulnérables. SAP a corrigé la faille dans la note de sécurité 3805589.
Une corruption de mémoire pourrait perturber les services SAP sans authentification
Une vulnérabilité distincte, CVE-2026-58249, affecte l’Internet Communication Manager utilisé par NetWeaver et Web Dispatcher. Notée 7,5 selon le score CVSS, cette faille résulte d’une validation incorrecte des requêtes réseau, qui peut provoquer des erreurs de mémoire et faire planter un processus concerné.
Les attaquants n’ont pas besoin d’identifiants de connexion valides, même si l’installation ciblée doit prendre en charge HTTP/2 et avoir le protocole activé. Une attaque par déni de service pourrait interrompre l’accès aux applications SAP dont les employés dépendent pour leur travail quotidien.
Le bulletin de sécurité d’octobre recense les composants concernés du noyau et de Web Dispatcher, ainsi que SAP Content Server et certains services applicatifs HANA. La note de sécurité 3765424 couvre les mesures correctives.
Comment les administrateurs SAP doivent prioriser les mesures correctives
Si vous gérez des installations S/4HANA, NetWeaver ou Web Dispatcher, le score CVSS le plus élevé ne doit pas automatiquement déterminer quel système sera corrigé en premier. Une bonne priorisation des vulnérabilités tient également compte de la possibilité pour les attaquants d’atteindre un service et de l’ampleur des perturbations que provoquerait sa défaillance.
Les administrateurs SAP Basis et les équipes de sécurité d’entreprise doivent coordonner leur réponse autour de plusieurs vérifications.
- Identifiez les installations concernées. Comparez les versions de S4CORE installées et les composants pertinents exposés sur le Web avec les notes de sécurité. Prenez en compte les services connectés lorsque cela s’applique et déterminez quels systèmes doivent effectivement être mis à jour avant de planifier la maintenance.
- Examinez les autorisations liées aux règles métier. Identifiez les comptes autorisés à gérer les règles de substitution et de validation, examinez les modifications récentes à la recherche d’activités suspectes et supprimez les privilèges inutiles. Les contrôles des accès privilégiés doivent tenir compte des rôles sensibles au niveau applicatif.
- Vérifiez l’exposition à HTTP/2. Déterminez quels services concernés acceptent des connexions provenant de réseaux non fiables. Limitez les accès inutiles pendant la préparation des correctifs, en particulier lorsqu’une panne applicative pourrait interrompre des opérations métier importantes.
- Coordonnez les solutions de contournement et les tests des correctifs. La désactivation du service OData concerné constitue une solution de contournement temporaire pour la faille de S/4HANA, selon Onapsis. Elle empêche les utilisateurs légitimes d’ajouter, de modifier ou de supprimer des règles de substitution et de validation via les applications Fiori associées. Évaluez l’impact métier avec les responsables des applications et suivez un processus de gestion des correctifs qui prévoit des tests avant et après le déploiement.
Les systèmes qui ne peuvent pas être mis à jour immédiatement doivent avoir un responsable désigné, des protections temporaires documentées et un suivi planifié. Laisser ces décisions en suspens peut prolonger l’exposition bien après la disponibilité d’un correctif de sécurité.
Plus d’actualités en cybersécurité : les utilisateurs de SAP Cloud SDK sont exposés à un risque de fuite d’identifiants en raison d’une vulnérabilité critique qui pourrait nécessiter plus qu’une simple vérification des correctifs.