SAP vient de corriger quatre vulnérabilités critiques dans ses logiciels professionnels. La plus grave permet de détourner les demandes d’authentification d’applications pour récupérer leurs identifiants et accéder à des informations sensibles.
Une application qui transmet ses propres identifiants à un serveur contrôlé par des pirates, leur permettant ensuite d’accéder à des données confidentielles : voilà ce que peut provoquer une faille que SAP vient de corriger, et dont la gravité a été évaluée à 10/10. Ce mardi 13 octobre, l’éditeur allemand a également publié des correctifs pour trois autres vulnérabilités critiques, dont deux pourraient conduire à une prise de contrôle complète des systèmes concernés.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Des identifiants envoyés directement au mauvais serveur
Référencée CVE-2026-89111, la vulnérabilité la plus grave concerne SAP Cloud SDK for Python, une bibliothèque utilisée par les développeurs pour connecter leurs applications aux services cloud de SAP. Elle touche plus particulièrement les applications capables de gérer plusieurs clients à partir d’une même infrastructure.
Pour accéder aux services auxquels elles sont autorisées, ces applications doivent s’identifier auprès d’un serveur d’authentification, auquel elles transmettent leurs propres identifiants afin d’obtenir un jeton d’accès. Or, le SDK ne vérifie pas correctement un paramètre utilisé pour déterminer l’adresse de ce serveur. Si un attaquant parvient à le manipuler, il peut rediriger la demande d’authentification vers un serveur frauduleux et récupérer les identifiants transmis par l’application.
Une fois ces informations récupérées, le pirate peut se faire passer pour l’application et accéder aux ressources pour lesquelles elle dispose d’autorisations. Selon les droits accordés, il pourrait ainsi consulter des données financières, des informations relatives aux salariés ou d’autres données professionnelles sensibles, voire les modifier.
Le risque est d’autant plus sérieux que la vulnérabilité peut être exploitée à distance, sans compte préalable ni intervention d'un utilisateur, dès lors que l’attaquant parvient à contrôler le paramètre concerné. SAP a publié un correctif dans la version 0.45.2 de son SDK, qui vérifie désormais ce paramètre avant de l’utiliser pour construire l'adresse du serveur d’authentification.
Trois autres failles critiques qui menacent les systèmes SAP
Le bulletin de sécurité d’octobre comprend trois autres vulnérabilités critiques, dont deux évaluées à 9,9/10. La première, CVE-2026-89110, affecte SAP NetWeaver Visual Composer. Elle permet à un utilisateur disposant de droits limités de contourner les contrôles d’accès et, selon la configuration, de prendre entièrement le contrôle d’un système distant.
La deuxième, CVE-2026-89107, concerne SAP S/4HANA, le logiciel de gestion intégré de l’éditeur. Un utilisateur authentifié et disposant des autorisations nécessaires pourrait y injecter du code malveillant et compromettre le système. Enfin, CVE-2026-89108, notée 9,1/10, touche SAP Manufacturing Integration and Intelligence, utilisé dans les environnements industriels. Elle permet à un administrateur de l’application d’obtenir des privilèges étendus sur le serveur Java qui l’héberge.
SAP n’a signalé aucune exploitation active de ces vulnérabilités pour le moment, et les correctifs sont désormais disponibles. À installer sans attendre, évidemment.
