SAP CVE-2026-27681 : SQL injection ABAP notée 9.9 sur BPC

Ce qui s'est passé

Le Patch Day SAP d'avril 2026 a livré vingt notes de sécurité, dominées par une vulnérabilité critique : SAP CVE-2026-27681 BPC désigne une injection SQL logée dans un programme ABAP de Business Planning and Consolidation (BPC), également exposé via Business Warehouse (BW). Cotée 9.9 sur l'échelle CVSS, la faille permet à un utilisateur authentifié, même faiblement privilégié, de déposer un fichier contenant des instructions SQL arbitraires, ensuite interprétées et exécutées par le programme vulnérable sur la base de données sous-jacente. L'impact est maximal : lecture, modification ou suppression de données financières et de planification, escalade de privilèges et compromission complète du système SAP concerné. Aucun contournement fiable n'existe hors du correctif éditeur ; SAP recommande l'application immédiate de la note associée, complétée par une restriction des autorisations de téléversement et une surveillance des journaux d'exécution ABAP.

Le vecteur technique repose sur une vérification d'autorisation insuffisante dans une fonctionnalité d'upload ABAP. Un attaquant disposant d'un compte standard peut charger un fichier crafted, contourner la couche d'application et manipuler directement les tables métier : lecture, modification, voire injection de procédures stockées. Les versions affectées couvrent HANABPC 810, BPC4HANA 300 et SAP_BW 750 à 816, soit la quasi-totalité des installations BW en production.

Le Centre for Cybersecurity Belgium (CCB) a émis un avis en priorité haute dès la publication de la note. SAP indique ne pas avoir observé d'exploitation active, mais précise qu'aucune condition d'exploitation exotique n'est requise : un compte applicatif compromis suffit. Le patch est disponible via la Note 3719353 pour les clients sous maintenance standard.

Pourquoi c'est important

SAP BPC et BW sont au cœur des processus de consolidation financière, de reporting groupe et de clôture comptable. Une injection SQL à ce niveau donne accès aux données les plus sensibles d'une entreprise : agrégats consolidés, prévisions, données salariales, structures juridiques. Contrairement à une faille dans un module exposé en front, CVE-2026-27681 touche un composant supposé être derrière plusieurs couches de contrôle, ce qui rend l'exploitation d'autant plus impactante lorsqu'elle survient.

Le profil de compte requis — low-privileged authenticated — rappelle que la surface d'attaque réelle inclut les comptes partenaires, consultants externes, et identités techniques d'interface. Dans la plupart des environnements SAP, plusieurs centaines de comptes répondent à ce critère. Les équipes GRC doivent traiter cette faille avec le même niveau d'urgence qu'une vulnérabilité non authentifiée, vu la densité de comptes répondant au seuil.

Ce qu'il faut retenir

• Appliquer la Note SAP 3719353 en priorité P1 sur tous les systèmes BPC (HANABPC 810, BPC4HANA 300) et BW (SAP_BW 750-816).
• Auditer les logs de la fonctionnalité d'upload ABAP concernée sur les 90 derniers jours pour détecter des payloads suspects.
• Revoir la distribution des rôles à faibles privilèges : ce sont eux qui constituent la surface d'attaque réelle.

Contrairement à une faille dans un module exposé en front, CVE-2026-27681 touche un composant supposé être derrière plusieurs couches de contrôle d'autorisation — ce qui explique le score CVSS proche du maximum théorique. Le précédent le plus proche reste RECON (CVE-2020-6287), qui avait permis une prise de contrôle totale de serveurs SAP NetWeaver via un défaut d'authentification sur le service SMB. Comme RECON, cette faille rappelle que les couches ABAP historiques, souvent héritées de développements anciens et rarement auditées en profondeur, concentrent un risque disproportionné par rapport à leur visibilité opérationnelle.

Vecteur d'attaque et détails techniques

Techniquement, la vulnérabilité relève de la catégorie CWE-89 (SQL Injection). Le programme ABAP incriminé, utilisé par les fonctions d'import de données BPC, ne valide pas correctement le contenu d'un fichier de configuration avant de le transmettre à la couche base de données via des appels EXEC SQL natifs. Un attaquant disposant d'un rôle applicatif standard — sans privilège d'administration ni accès SAP_ALL — peut construire un fichier dont certains champs contiennent des clauses SQL, contournant ainsi les contrôles habituels de la couche ORM ABAP (Open SQL). L'exécution qui en résulte s'effectue avec les privilèges du compte de service applicatif, généralement bien plus permissifs que ceux de l'utilisateur final.

Les versions concernées sont précisément : HANABPC 810, BPC4HANA 300, ainsi que SAP_BW 750, 751, 752, 753, 754, 755, 756, 757 et 816. Cette étendue couvre à la fois les installations BW classiques sous NetWeaver et les couches BW/4HANA plus récentes, dès lors qu'elles embarquent le composant BPC affecté.

Mitigation et outils de détection

• Correctif prioritaire : appliquer la SAP Note 3719353 via SPAM/SAINT ou Software Update Manager, en priorité sur les systèmes de production exposés à des comptes utilisateurs externes ou tiers.
• Mesure compensatoire immédiate : si le patch ne peut être déployé sous 48h, restreindre les autorisations liées aux transactions d'upload BPC (objets d'autorisation S_RFC et S_TABU_DIS) aux seuls comptes techniques de confiance.
• Détection : surveiller les journaux RSAU (Security Audit Log) pour repérer des appels anormaux aux fonctions d'import BPC, et activer les règles SAP Enterprise Threat Detection (ETD) si disponibles.
• Scan de conformité : les outils tiers comme Onapsis Platform ou Pathlock intègrent déjà des signatures de détection pour CVE-2026-27681 dans leurs bases de vulnérabilités SAP.
• Vérification post-patch : exécuter un rapport EarlyWatch Alert (EWA) pour confirmer l'absence de notes de sécurité critiques en attente sur le système concerné.

Mon tenant S/4HANA classique est-il concerné ?

La réponse dépend du composant réellement déployé. Un tenant S/4HANA « pur », sans extension BPC ni BW embarqué, n'est pas directement exposé au vecteur SQL injection décrit ici. En revanche, la majorité des groupes utilisant S/4HANA pour la consolidation financière s'appuient sur BPC for S/4HANA (souvent en mode « embedded ») ou sur un système BW/4HANA connecté en side-car pour le reporting. Dans ces configurations — largement majoritaires en environnement de grande entreprise — le système est vulnérable et doit être traité avec la même urgence qu'un paysage BW autonome. Un audit rapide via la transaction SPAM ou une requête sur la table CVERS permet de confirmer la présence des composants HANABPC ou SAP_BW dans le release affecté.