SAP Patch Day nov. 2026 : 4 CVE CVSS 10 — ICM2SHELL et PROXYGATE

Les faits

Le 10 novembre 2026, SAP a publié son bulletin de sécurité mensuel (SAP Security Patch Day) comportant quatre vulnérabilités portant chacune le score maximal CVSS 3.1 de 10.0. C'est un événement rarissime dans l'industrie : quatre failles « perfect-ten » dans un même cycle de correctifs concernant l'une des suites ERP les plus déployées au monde. Ces vulnérabilités ont été découvertes par les chercheurs d'Onapsis, société spécialisée dans la sécurité des applications d'entreprise SAP.

Les deux premières failles, regroupées sous le nom de code ICM2SHELL, touchent le composant Internet Communication Manager (ICM) via CVE-2026-76964 (SAP Note 3778530) et le SAP Web Dispatcher via CVE-2026-89126 (SAP Note 3778556). Ces deux CVE partagent la même cause racine : un traitement défaillant des messages WebSocket fragmentés dans le code kernel SAP. Lorsqu'un attaquant envoie une séquence spécialement construite de fragments WebSocket, le parseur de réassemblage écrit au-delà de la zone mémoire réservée (heap-based buffer overflow, CWE-122). Onapsis a confirmé disposer d'un exploit fonctionnel permettant une exécution de code à distance (RCE) sans authentification préalable, avec une exécution sous l'identité système <sid>adm — le compte d'administration SAP disposant de privilèges étendus sur l'ensemble du système d'exploitation hôte.

La troisième faille, CVE-2026-89103, affecte le composant SAP Gateway, pièce centrale de la communication RFC (Remote Function Call) entre systèmes SAP. Elle atteint également le score CVSS 10.0. La quatrième faille, CVE-2026-120017, concerne le composant SAML2 Service Provider de SAP, qui assure l'authentification fédérée pour les portails SAP et les accès depuis le cloud. Une exploitation réussie pourrait permettre à un attaquant de contourner entièrement le mécanisme d'authentification SAML2.

Un élément aggravant majeur pour CVE-2026-89126 et CVE-2026-76964 : le support WebSocket est activé par défaut dans les configurations standard du SAP ICM et du Web Dispatcher, y compris dans les environnements S/4HANA de base. Certains services S/4HANA — notamment les API REST de Fiori — acceptent des connexions WebSocket sans authentification préalable. Cela signifie qu'un attaquant distant sans aucune authentification peut tenter d'exploiter ces failles depuis Internet sur tout Web Dispatcher exposé, sans nécessiter d'accès réseau interne ni de compte SAP valide.

D'après les chercheurs d'Onapsis, le SAP Web Dispatcher agit comme point d'entrée unique pour l'ensemble du trafic applicatif SAP dans la plupart des architectures d'entreprise. Une compromission de ce composant ne se limite pas à un seul système : elle ouvre une porte d'accès à l'intégralité du paysage SAP en backend, incluant les systèmes de production ERP, les bases de données SAP HANA, les environnements de trésorerie, de ressources humaines et de chaîne logistique.

En termes de chronologie, Onapsis a notifié SAP de ses découvertes plusieurs mois avant la publication, respectant ainsi un processus de divulgation coordonnée responsable. SAP a développé les correctifs et les a intégrés au cycle de Patch Day du 10 novembre 2026. Au moment de la publication, aucune exploitation active dans le wild n'a été confirmée par SAP, Onapsis ou les agences gouvernementales comme la CISA. Cependant, Onapsis conserve en interne un exploit fonctionnel et prévient que le délai entre la publication d'un patch SAP et l'apparition d'exploits publics tend à se réduire considérablement.

Selon les estimations d'Onapsis Research Labs, plus de 90 % des entreprises du Fortune 500 utilisent des systèmes SAP NetWeaver. La base installée mondiale représente plusieurs dizaines de milliers d'instances, dont une fraction significative expose directement leur Web Dispatcher sur Internet — notamment dans les configurations cloud, SAP BTP et les architectures hybrides modernes. Les secteurs les plus exposés incluent le secteur financier, l'industrie manufacturière, l'énergie, la pharmacie et les administrations publiques.

Pour CVE-2026-89103 (SAP Gateway), le composant est utilisé pour les communications RFC inter-systèmes, les interfaces BAPI et les communications avec les systèmes tiers. Une exploitation permettrait potentiellement de lancer des appels de fonctions arbitraires dans les systèmes SAP, incluant l'exécution de programmes ABAP. Pour CVE-2026-120017 (SAP SAML2 SP), l'impact est particulièrement préoccupant dans les architectures utilisant SAP Identity Authentication Service (IAS) comme point d'authentification centrale.

La faille PROXYGATE (CVE-2026-89126) porte ce nom car le SAP Web Dispatcher agit comme proxy inverse devant les instances d'application SAP. Compromettre le proxy revient à compromettre le point d'entrée de tout le trafic SAP. Sur les systèmes S/4HANA, le Web Dispatcher est souvent directement exposé sur Internet pour permettre l'accès à SAP Fiori, aux API OData et aux intégrations partenaires, ce qui en fait une cible de choix pour des acteurs de menace ciblant les environnements ERP d'entreprise.

Impact et exposition

Toute organisation déployant SAP NetWeaver AS ABAP ou Java, SAP S/4HANA, ou SAP Web Dispatcher est potentiellement exposée. Les versions affectées s'étendent de SAP Web Dispatcher 7.53 à 9.20 ; les déploiements SAP HANA XS intègrent également le composant Web Dispatcher. Les organisations exposant leur SAP Web Dispatcher directement sur Internet — ce qui est courant dans les architectures Fiori, SAP Cloud Connector et les intégrations EDI — présentent le risque le plus immédiat et le plus urgent à traiter.

L'exploitation réussie de CVE-2026-89126 ou CVE-2026-76964 permettrait à un attaquant d'obtenir une exécution de code arbitraire en tant qu'utilisateur système SAP (<sid>adm), donnant ainsi accès aux données SAP (en lecture et écriture), à l'environnement système, aux clés de chiffrement SAP, aux bases de données HANA associées et potentiellement à l'ensemble des systèmes du paysage SAP via les connexions RFC de confiance. Dans les environnements SAP critiques, cela équivaut à une compromission totale de l'infrastructure ERP.

Pour CVE-2026-89103 et CVE-2026-120017, l'exposition dépend davantage de la configuration : le SAP Gateway est généralement accessible en réseau interne, mais les environnements avec des zones DMZ mal segmentées restent à risque. La faille SAML2 est critique dans les architectures d'authentification fédérée cloud, où un contournement pourrait impacter des milliers d'utilisateurs simultanément.

Recommandations immédiates

• Appliquer immédiatement SAP Security Note 3778556 pour CVE-2026-89126 (SAP Web Dispatcher) — priorité absolue pour les Web Dispatchers exposés sur Internet.
• Appliquer SAP Security Note 3778530 pour CVE-2026-76964 (SAP ICM/ICM2SHELL).
• Appliquer les notes correspondantes pour CVE-2026-89103 (SAP Gateway) et CVE-2026-120017 (SAP SAML2 SP) disponibles dans SAP ONE Support Launchpad.
• Identifier tous les Web Dispatcher exposés sur Internet, y compris les Web Dispatchers embarqués dans SAP HANA XS.
• En l'absence de patch immédiat : désactiver temporairement le support WebSocket si les applications métier le permettent (paramètre icm/server_port_* avec PROT=WEBSOCKET).
• Surveiller les logs ICM et Web Dispatcher pour des patterns de connexions WebSocket inhabituels ou des crashes inattendus du composant.
• Vérifier les connexions RFC de confiance depuis les systèmes SAP Gateway vers d'autres systèmes du paysage.
• Référence : SAP Security Patch Day November 2026 — bulletin officiel sur SAP ONE Support Launchpad (note de sécurité SAP).