Alertes de sécurité SAP : multiples vulnérabilités critiques à corriger

Le Centre d'expertise gouvernemental de réponse et de traitement des attaques informatiques (CERT-FR) a publié un avis d'urgence concernant plusieurs vulnérabilités critiques affectant une large gamme de solutions SAP. Ces failles, non corrigées, exposent les organisations à des risques majeurs pour la sécurité de leurs systèmes d'information.

Risques identifiés

• Exécution de code arbitraire à distance
• Élévation de privilèges
• Déni de service à distance
• Atteinte à la confidentialité des données
• Contournement de la politique de sécurité
• Falsification de requêtes côté serveur (SSRF)
• Injection de requêtes illégitimes par rebond (CSRF)
• Injection SQL (SQLi)

Produits et versions concernés

Les vulnérabilités impactent notamment les composants suivants, en l'absence des derniers correctifs de sécurité :

• ABAP Developer Tools (versions SAP_BASIS 750 à 920)
• Commerce Cloud (Search and Navigation, versions COM_CLOUD 2211)
• Extended Passport (EPP) Processing (versions KRNL64NUC, KRNL64UC, WEBDISP, KERNEL)
• Integration Suite (Cloud Integration - Trading Partner Management)
• Manufacturing Integration et Intelligence (versions XMII 15.4 et 15.5)
• NetWeaver (GUI for Java, Message Server, Business Client)
• Process Integration (SOAP Adapter)
• S/4HANA (Finance for Advanced Payment Management, Intercompany Matching and Reconciliation)
• SAPUI5 (Frame Options Allowlist)
• Web Dispatcher, Internet Communication Manager et Content Server

Recommandations

Les organisations utilisant ces solutions SAP doivent appliquer sans délai les correctifs publiés par l'éditeur. Le CERT-FR recommande de se référer au bulletin de sécurité SAP de septembre 2026 pour obtenir les mises à jour nécessaires et limiter l'exposition aux risques.

Source : ANSSI / CERT-FR — Alertes & avis