Vulnérabilités critiques dans SAP

Produits concernés

• SAP Web Dispatcher (CVE-2026-89126) : WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16 ; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20 ; KRNL64UC 7.53 ; HDB 2.00 ; XS_ADVANCED_RUNTIME 1.00 ; SAP_EXTENDED_APP_SERVICES 1

• SAP NetWeaver AS ABAP, Internet Communication Manager (CVE-2026-76964) : KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20 ; KRNL64UC 7.53

• SAP NetWeaver AS ABAP et ABAP Platform, service provider SAML2 (CVE-2026-120017) : SAP_BASIS 702, 731, 740, 750 à 758, 816, 920, 921, 922

• SAP Gateway (CVE-2026-89103) : KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20, 9.21 ; KRNL64UC 7.22, 7.22EXT, 7.53, 8.04 ; KRNL64NUC 7.22, 7.22EXT

Prérequis

• Accès réseau au service HTTP(S) du SAP Web Dispatcher ou de l'ICM (CVE-2026-89126, CVE-2026-76964)

• Authentification SAML2 activée sur le système AS ABAP (CVE-2026-120017)

• Accès réseau au port du SAP Gateway (33xx) (CVE-2026-89103)

• Fichiers secinfo et reginfo sans règle explicite ou reposant sur le mot-clé internal (CVE-2026-89103)

Risques

• Exécution de code arbitraire

• Prise de contrôle complète du système SAP

• Usurpation d'identité d'utilisateurs, y compris privilégiés

• Exfiltration de données sensibles

• Accès au réseau interne de l'entreprise

Résumé

Plusieurs vulnérabilités critiques affectant SAP NetWeaver et SAP Web Dispatcher ont été publiées par l'éditeur SAP le 10 novembre 2026, dans le cadre de son Security Patch Day mensuel.

Le niveau de criticité de ces vulnérabilités est de 10 (score CVSSv3.1).

SAP NetWeaver est la plateforme technique sur laquelle reposent les applications SAP (ERP, S/4HANA, etc.). Le SAP Web Dispatcher est le point d'entrée qui reçoit les requêtes web, souvent depuis Internet, et les transmet aux serveurs d'application.

• CVE-2026-89126 : Une vulnérabilité de corruption mémoire dans le traitement des trames WebSocket par le SAP Web Dispatcher pourrait permettre à un attaquant distant non authentifié, en envoyant un trafic réseau spécifiquement forgé, d'exécuter du code arbitraire et de compromettre totalement le système. Les Web Dispatcher autonomes et embarqués sont concernés, y compris ceux de SAP HANA XS Classic et XS Advanced.

• CVE-2026-76964 : Une vulnérabilité de même nature dans l'Internet Communication Manager (ICM), composant qui gère le trafic HTTP du serveur AS ABAP, pourrait permettre à un attaquant distant non authentifié d'exécuter du code arbitraire et de compromettre totalement le système.

• CVE-2026-120017 : Une vulnérabilité dans le service provider SAML2 de SAP NetWeaver AS ABAP pourrait permettre à un attaquant non authentifié, sur certaines configurations SAML2, de se connecter sous l'identité de n'importe quel utilisateur, y compris un utilisateur privilégié. L'exploitation de cette CVE pourrait mener à une compromission complète du système et des systèmes connectés.

• CVE-2026-89103 : Une vulnérabilité dans les listes de contrôle d'accès par défaut du SAP Gateway pourrait permettre à un attaquant non authentifié de se faire passer pour l'un des serveurs d'application du système, puis d'effectuer des actions non autorisées pouvant mener à l'exécution de commandes.

À l'heure actuelle, SAP ne fait mention d'aucune exploitation active de ces vulnérabilités et aucun exploit public n'a été identifié.

Étant donné le risque associé, nous préconisons de corriger ces vulnérabilités sans plus attendre pour toute machine exposée sur Internet.

Solutions

Détection de la compromission :

Afin de vérifier si un système est compromis, vous pouvez :

• Passer en revue les fournisseurs d'identité de confiance déclarés dans la transaction SAML2 et vérifier leur légitimité

• Rechercher dans les journaux d'audit les connexions SAML d'utilisateurs privilégiés depuis des sources inattendues

• Contrôler dans la transaction SMGW l'enregistrement de programmes externes inattendus sur le SAP Gateway

Aucun indicateur de compromission public n'est disponible à l'heure de l'émission de ce bulletin.

Remédiation

Appliquer les notes de sécurité SAP suivantes :

• Note 3778556 (CVE-2026-89126)

• Note 3778530 (CVE-2026-76964)

• Note 3849308 (CVE-2026-120017)

• Note 3798345 (CVE-2026-89103)

Pour le SAP Web Dispatcher, les chemins de mise à jour sont :

• SAPWEBDISP.SAR pour les instances autonomes

• dw.sar ou SP Stack Kernel pour les instances embarquées

• SPS08 révision 089.05 ou SPS07 révision 079.11 pour SAP HANA XS Classic

• Version 1.5.4 et supérieures pour SAP HANA XS Advanced

Pour le SAP Gateway, après application du correctif :

• Positionner le paramètre gw/acl_mode_proxy (kernels jusqu'à 7.77, déjà présent à partir de 7.93)

• Vérifier que gw/acl_mode vaut 1 et que les fichiers secinfo et reginfo contiennent des règles explicites

Mitigation

En attendant le déploiement des correctifs :

• Désactiver le support WebSocket sur le SAP Web Dispatcher et l'ICM (CVE-2026-89126, CVE-2026-76964). Cette mesure impacte les ABAP Push Channels et certaines fonctionnalités Fiori.

• Restreindre l'accès réseau au port du SAP Gateway (33xx) aux seuls serveurs SAP légitimes (CVE-2026-89103)

Aucune mitigation n'est disponible pour la CVE-2026-120017 : l'application du correctif est la seule mesure corrective.

Références

• https://support.sap.com/en/my-support/knowledge-base/security-notes-news/november-2026.html

• https://thehackernews.com/2026/11/sap-patches-four-cvss-100-flaws.html

• https://redrays.io/blog/sap-security-patch-day-november-2026/

Restez informés des dernières menaces !

Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.

Merci pour votre inscription !

Oups ! Une erreur est survenue lors de l'envoi du formulaire.