En bref

  • CVE-2026-27681 — injection SQL dans SAP Business Planning and Consolidation et Business Warehouse (CVSS 9.9)
  • Un utilisateur authentifié à faibles privilèges peut exécuter des commandes SQL arbitraires via upload de fichier
  • Action urgente : appliquer la Security Note SAP 3719353 immédiatement

Les faits

SAP a publié lors de son Patch Day d'avril 2026 un correctif pour la CVE-2026-27681, une vulnérabilité d'injection SQL critique affectant SAP Business Planning and Consolidation (BPC) et SAP Business Warehouse (BW). Avec un score CVSS de 9.9 sur 10, il s'agit de la faille la plus sévère corrigée ce mois-ci par l'éditeur allemand. La vulnérabilité est causée par des contrôles d'autorisation insuffisants dans un programme ABAP qui permet à un utilisateur authentifié disposant de privilèges limités d'uploader un fichier contenant des instructions SQL arbitraires. Ces instructions sont ensuite exécutées directement par le système sans validation ni filtrage. La découverte a été signalée par des chercheurs de Positive Technologies et confirmée par le CCB belge (Centre for Cybersecurity Belgium) qui a émis un avis d'alerte spécifique. Le CERT-FR a également relayé cette information dans son bulletin d'actualité CERTFR-2026-ACT-017.

Les versions affectées incluent HANABPC 810, BPC4HANA 300 et SAP_BW versions 750, 752, 753, 754, 755, 756, 757, 758 et 816. Cette surface d'attaque étendue touche une large base d'installations SAP à travers le monde, notamment dans les secteurs bancaire, industriel et de la grande distribution où SAP BPC est déployé pour la consolidation financière et la planification budgétaire.

Impact et exposition

L'exploitation de cette vulnérabilité permet à un attaquant disposant d'un simple compte utilisateur SAP de prendre le contrôle total de la base de données sous-jacente. Les conséquences potentielles sont catastrophiques pour les organisations concernées : exfiltration massive de données financières confidentielles, modification de données comptables et de consolidation, suppression de tables critiques entraînant un déni de service, et potentiellement une escalade vers l'infrastructure sous-jacente selon la configuration de la base de données. Le score CVSS de 9.9 reflète l'impact maximal sur la confidentialité, l'intégrité et la disponibilité du système. Cette vulnérabilité est particulièrement préoccupante car elle ne nécessite qu'un compte à faibles privilèges, un niveau d'accès que possèdent souvent des centaines d'utilisateurs dans les grandes organisations. Les entreprises ayant déjà subi des attaques par injection SQL, comme celles documentées dans notre analyse de la CVE-2026-21643 dans FortiClient EMS ou la CVE-2026-3094 dans GitLab, savent que ce type de faille est systématiquement exploité par les groupes APT ciblant les ERP.

Recommandations immédiates

  • Appliquer la Security Note SAP 3719353 sans délai via SAP Support Portal — cette note corrige les contrôles d'autorisation manquants dans le programme ABAP vulnérable
  • Auditer les logs d'upload de fichiers dans les modules BPC et BW pour détecter d'éventuelles tentatives d'exploitation antérieures au patch
  • Restreindre temporairement les droits d'upload dans les transactions BPC concernées en attendant l'application du correctif
  • Vérifier la configuration des autorisations ABAP pour limiter l'accès aux fonctions d'import de fichiers aux seuls utilisateurs légitimes
  • Mettre en place une surveillance renforcée des requêtes SQL inhabituelles sur la base HANA ou la base BW sous-jacente

⚠️ Urgence

Avec un CVSS de 9.9 et un vecteur d'attaque accessible à tout utilisateur authentifié, cette faille représente un risque immédiat pour toutes les organisations utilisant SAP BPC ou BW. Les données financières consolidées sont une cible de choix pour l'espionnage industriel et la fraude. L'application du correctif doit être considérée comme une priorité absolue par les équipes SAP Basis.

Comment vérifier si mon système SAP est vulnérable ?

Connectez-vous à votre système SAP et vérifiez les versions des composants via la transaction SPAM ou ST04. Les versions vulnérables sont : HANABPC 810, BPC4HANA 300 et SAP_BW 750 à 816. Vérifiez également si la Security Note 3719353 a été appliquée via la transaction SNOTE. Les équipes n'ayant pas accès direct peuvent utiliser l'outil SAP System Recommendation dans le SAP Support Launchpad pour identifier les notes de sécurité manquantes. Pour une vision plus large des risques liés aux injections SQL dans les systèmes d'entreprise, consultez notre analyse de la faille critique GitLab CE/EE et les recommandations similaires pour FortiClient EMS.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.

Demander un audit