SAP a publié 22 notes de sécurité nouvelles ou mises à jour pour son Security Patch Day d'octobre 2026, dont quatre failles critiques touchant SAP Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA et Manufacturing Integration and Intelligence.
La publication a été annoncée un mardi, selon le rapport de SecurityWeek. SAP recommande à ses clients d'installer les mises à jour dès que possible.
Les fiches de vulnérabilité disponibles identifient les composants concernés, mais ne précisent ni les plages de versions touchées ni celles qui sont corrigées. Les administrateurs doivent donc utiliser les notes de sécurité SAP applicables pour déterminer l'exposition de chaque version déployée, plutôt que de considérer comme sûre une version absente de la liste.
Les requêtes OAuth2 peuvent divulguer les identifiants client
La faille la plus grave, CVE-2026-89111, est une vulnérabilité de type falsification de requête côté serveur (SSRF) dans SAP Cloud SDK for Python, qui touche les applications BTP multilocataires.
Un attaquant capable de contrôler le paramètre tenant_subdomain peut rediriger les requêtes de jetons OAuth2 vers un serveur qu'il contrôle. Cela peut exposer les identifiants client utilisés dans ces requêtes.
La faille est classée CWE-918 et affiche un score CVSS 3.1 de 10,0, avec le vecteur suivant :
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
L'exploitation nécessite un accès réseau, mais aucun compte ni aucune interaction de l'utilisateur. Le vecteur évalue la complexité de l'attaque comme faible et indique un impact potentiel élevé sur la confidentialité et l'intégrité, sans impact direct sur la disponibilité.
Une faille NetWeaver atteint les systèmes distants préconfigurés
CVE-2026-89110 touche une fonctionnalité de portail dans SAP NetWeaver Visual Composer. Des contrôles d'autorisation insuffisants permettent à un attaquant disposant de faibles privilèges d'invoquer des opérations internes sur un système distant préconfiguré.
L'impact final dépend de la configuration de la connexion distante. Dans les configurations qui exposent des opérations suffisamment puissantes, l'exploitation pourrait conduire à la compromission complète du système connecté, avec atteinte à la confidentialité, à l'intégrité et à la disponibilité.
La vulnérabilité est classée CWE-749 et affiche un score CVSS 3.1 de 9,9 :
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Elle est exploitable à distance avec une faible complexité et nécessite des privilèges faibles, mais aucune action d'un autre utilisateur.
Des règles S/4HANA forgées peuvent devenir du code ABAP exécutable
La vulnérabilité S/4HANA, CVE-2026-89107, est une défaillance de validation des entrées dans Manage Substitution/Validation Rules.
La fonctionnalité de définition de règles concernée traite un langage de script spécifique à un domaine. Un attaquant authentifié disposant des privilèges métier requis peut soumettre une entrée forgée que la logique de traitement des règles interprète comme du code ABAP exécutable. Une exploitation réussie peut entraîner l'exécution arbitraire d'ABAP et la compromission complète du système concerné.
CVE-2026-89107 est classée CWE-94 et affiche un score CVSS 3.1 de 9,9 :
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
L'attaque nécessite un accès réseau, de faibles privilèges correspondant au rôle métier concerné, et aucune interaction de l'utilisateur.
Les administrateurs MII peuvent élever leurs privilèges jusqu'au serveur d'applications Java
CVE-2026-89108 concerne l'absence de contrôle d'autorisation dans une fonctionnalité d'administration de SAP Manufacturing Integration and Intelligence.
Un attaquant disposant déjà de privilèges d'administrateur MII peut envoyer une requête forgée qui crée un compte doté de droits élevés sur le serveur d'applications Java sous-jacent. Cela franchit la limite d'autorisation de l'application et peut donner à l'attaquant un contrôle administratif sur le système sous-jacent.
La faille est classée CWE-862 et affiche un score CVSS 3.1 de 9,1 :
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Contrairement aux autres failles critiques, son exploitation exige des privilèges élevés. Sa criticité reflète la possibilité d'étendre le contrôle au-delà de MII et de compromettre la confidentialité, l'intégrité et la disponibilité du serveur sous-jacent.
Autres correctifs et état de l'exploitation
SAP a également corrigé des faiblesses de gravité élevée dans Commerce Cloud, NetWeaver et ABAP Platform. Les conséquences signalées pour ces correctifs incluent des injections SQL, des plantages de processus et des contournements de restrictions. Les informations disponibles n'associent ni identifiants CVE ni scores de gravité individuels à ces problèmes.
Selon SecurityWeek, le matériel publié par SAP ne mentionne pas d'exploitation active des vulnérabilités nouvellement corrigées. Cela ne confirme pas qu'aucune exploitation n'a eu lieu : les scores CVSS décrivent la gravité technique et les conditions d'attaque, pas la preuve d'attaques réelles.
Les administrateurs devraient prioriser les mises à jour SAP, identifier les applications BTP multilocataires utilisant SAP Cloud SDK for Python, examiner les accès à faibles privilèges à NetWeaver Visual Composer, et restreindre les rôles métier S/4HANA concernés ainsi que les privilèges d'administration MII aux seuls utilisateurs qui en ont besoin. Les configurations de systèmes distants connectés à Visual Composer méritent aussi un examen, car elles déterminent la portée possible de CVE-2026-89110. Ces contrôles d'accès peuvent réduire l'exposition pendant l'application des correctifs, mais ils ne remplacent pas les correctifs du fournisseur.
