SAP corrige 22 failles, dont une exécution de code depuis un rôle métier

Ce que contient le correctif d'octobre

Selon l'avis du CERT-FR, les produits concernés couvrent une large partie du socle de gestion de l'éditeur : S/4HANA (composants S4CORE 105 à 109), NetWeaver Application Server ABAP (SAP_BASIS 731 à 918), NetWeaver Enterprise Portal, Visual Composer, Web Dispatcher, SAPUI5, Commerce Cloud, le Cloud Connector 2.0 et Manufacturing Integration and Intelligence (XMII 15.4 et 15.5). Les risques listés par le CERT-FR vont de l'exécution de code arbitraire à distance à l'injection SQL, en passant par la falsification de requêtes côté serveur et le contournement de la politique de sécurité.

Le décompte varie d'une source à l'autre, parce que SAP publie des notes de sécurité et non des CVE. L'éditeur spécialisé RedRays recense 18 notes datées du 13 octobre, dont trois classées HotNews, trois de gravité haute, onze moyennes et une faible. BleepingComputer évoque pour sa part 20 failles corrigées. D'après l'analyse publiée par Pathlock, les trois notes critiques sont la 3805589 (CVE-2026-89107, CVSS 9.9), qui touche la gestion des règles de substitution et de validation de S/4HANA, la 3797111 (CVE-2026-89110, CVSS 9.9) sur NetWeaver Visual Composer, et la 3798788 (CVE-2026-89108, CVSS 9.1) sur le service de configuration de MII.

Sur S/4HANA, un rôle fonctionnel suffit

Le point à retenir pour une direction des systèmes d'information concerne la note 3805589. Pathlock indique qu'un utilisateur authentifié disposant du rôle métier de maintenance des règles peut amener le système à exécuter du code ABAP. Il ne s'agit donc pas d'un privilège d'administrateur technique, mais d'une autorisation accordée couramment à des profils de gestion. Le contournement temporaire consiste à désactiver le service OData concerné, ce qui bloque en retour la maintenance des règles. Pour la note 3798788 sur MII, Pathlock précise qu'aucune solution de contournement n'existe : seules la restriction des accès administrateurs et la surveillance des créations de comptes limitent le risque avant correction.

La vulnérabilité la mieux notée du lot sort du périmètre ERP classique. Référencée CVE-2026-89111 et évaluée 10 sur 10, elle affecte le SAP Cloud SDK for Python, utilisé pour développer des applications et des agents sur la plateforme BTP. BleepingComputer explique qu'un attaquant distant et sans privilèges peut détourner les requêtes de jeton OAuth2 en contrôlant le paramètre tenant_subdomain, et récupérer ainsi des identifiants client ; à défaut de mise à jour immédiate, la parade consiste à valider ce paramètre par une liste d'autorisation. Les versions antérieures à la 0.45.2 sont concernées, selon la synthèse publiée par aboutInfoSec.

Aucune exploitation active n'est signalée à ce stade pour ces failles. BleepingComputer rappelle toutefois que la CISA a ajouté 14 vulnérabilités SAP à son catalogue des failles activement exploitées depuis novembre 2021, dont trois ont été utilisées dans des attaques par rançongiciel.

Pourquoi c'est important

Pour une ETI équipée de SAP, la leçon tient moins à la liste des CVE qu'au chemin d'attaque décrit par Pathlock : le périmètre de risque ne s'arrête plus aux comptes d'administration technique, il englobe la matrice d'autorisations fonctionnelles. Une habilitation distribuée pour des raisons de gestion devient un vecteur d'exécution de code. Cela déplace le sujet de la seule équipe infrastructure vers la gouvernance des rôles, c'est-à-dire vers les directions métier qui les demandent et les valident. S'y ajoute un effet de calendrier : la brique MII est installée en atelier, là où les fenêtres d'arrêt sont rares, et les composants historiques comme Visual Composer ou Enterprise Portal survivent souvent dans des systèmes qui n'ont pas achevé leur migration. Ce sont précisément les parties du socle que personne ne veut toucher.

Ce que ça change pour votre projet ERP

Trois actions concrètes. D'abord, demandez par écrit à votre infogérant ou à votre prestataire d'application management la date d'application des notes d'octobre, et vérifiez que votre contrat fixe un délai de correction pour les notes HotNews : beaucoup de contrats restent muets sur ce point. Ensuite, dressez l'inventaire des composants réellement exposés — Visual Composer, Enterprise Portal, Web Dispatcher, Cloud Connector, extensions BTP — et de qui détient les rôles de maintenance des règles de gestion. Enfin, si vous êtes en cours de sélection ou de refonte, inscrivez la conception des rôles et le délai de correctif dans le cahier des charges, au même niveau que les fonctionnalités : c'est un sujet de gouvernance des données et des habilitations, pas une ligne technique. Les projets d'interopérabilité et d'API méritent le même examen, puisqu'ils multiplient les points d'entrée vers le cœur de gestion.