SAP a annoncé la publication de 22 nouvelles notes de sécurité et mises à jour dans le cadre de sa journée des correctifs de sécurité d’octobre 2026, dont quatre vulnérabilités classées critiques dans Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA et Manufacturing Integration and Intelligence. L’entreprise n’a pas indiqué que ces failles étaient exploitées dans des attaques réelles, mais elle a recommandé aux utilisateurs de mettre à jour les applications dès que possible.
Des vulnérabilités susceptibles d’entraîner une compromission complète
La vulnérabilité la plus grave porte l’identifiant CVE-2026-89111 et obtient un score CVSS de 10 sur 10. Il s’agit d’une vulnérabilité SSRF liée à OAuth2 dans Cloud SDK for Python, qui affecte les applications BTP mutualisées. Selon l’avis publié par SAP sur GitHub, un attaquant contrôlant le paramètre tenant_subdomain peut rediriger les demandes de jetons OAuth2 vers un serveur sous son contrôle, ce qui peut entraîner la divulgation des identifiants du client.
La vulnérabilité CVE-2026-89110 obtient quant à elle un score de 9,9 sur 10 et est liée à une faille dans le contrôle d’accès de certaines fonctions de NetWeaver Visual Composer. La société de sécurité des applications d’entreprise Onapsis a déclaré qu’un attaquant disposant de faibles privilèges pourrait être en mesure d’appeler des opérations internes sur un système distant préconfiguré, ce qui pourrait aboutir à une prise de contrôle complète du système.
SAP corrige également la vulnérabilité CVE-2026-89107 dans S/4HANA, avec un score de 9,9 sur 10. Dans certaines circonstances, la faille permet à un attaquant authentifié disposant d’un rôle métier spécifique dans les applications Fiori d’envoyer des entrées spécialement conçues afin d’exécuter du code ABAP arbitraire. Le problème est dû à une validation insuffisante des entrées lors d’un processus de définition des règles.
La vulnérabilité CVE-2026-89108 obtient un score de 9,1 sur 10 et résulte de l’absence de vérification de l’autorisation dans Manufacturing Integration and Intelligence. Un attaquant disposant des privilèges XMII Admin peut créer un compte administrateur sur le serveur d’applications Java sous-jacent, ce qui permet une compromission complète du système.
Qu’est-ce qui change concrètement ?
Cette série regroupe différents types de risques : divulgation d’identifiants par l’intermédiaire de demandes OAuth2, contournement des contrôles d’accès, injection de code ABAP et création de comptes administrateur. Leur impact ne se limite donc pas à un composant isolé, mais peut s’étendre aux systèmes SAP d’entreprise et aux processus qui en dépendent, selon les produits, les configurations et les rôles accessibles à l’attaquant.
SAP a également corrigé des vulnérabilités à haut risque dans Commerce Cloud, NetWeaver et ABAP Platform, qui auraient pu permettre l’injection de commandes SQL arbitraires, provoquer l’arrêt d’un processus ou contourner des restrictions de sécurité. La source ne précise pas les versions des produits concernées ni de dates distinctes pour les mises à jour, et ne confirme pas l’existence d’une exploitation active des vulnérabilités à la date de publication.
Ce que les utilisateurs doivent examiner
Les équipes chargées de l’administration de SAP doivent examiner les notes de sécurité SAP d’octobre 2026, identifier les composants effectivement déployés et appliquer les mises à jour appropriées conformément aux procédures de changement approuvées. Ces vulnérabilités justifient également un examen des autorisations associées aux rôles, en particulier ceux liés à Fiori et à XMII, ainsi qu’une vérification des paramètres des applications mutualisées. La priorité du traitement reste liée au niveau d’exposition de chaque environnement, la source n’indiquant pas que tous les déploiements sont exploitables de la même manière.