SAP OVERPASS : faille CVSS 10 menace 10 000 systèmes ERP

CVE-2026-44756 : un buffer overflow dans l'ICM SAP ouvre la porte à 10 000 ERP

Le 9 septembre 2026, SAP a publié son bulletin de sécurité mensuel en corrigeant 20 vulnérabilités à travers son écosystème de produits. Parmi elles, CVE-2026-44756 — baptisée OVERPASS par les chercheurs d'Onapsis qui l'ont découverte et reportée de façon responsable — se distingue par un score CVSS de 10.0 et un vecteur d'exploitation réseau entièrement pré-authentification. En pratique, tout attaquant capable d'atteindre un port SAP ICM exposé peut exécuter du code arbitraire avec des privilèges administratifs, sans aucune interaction utilisateur ni connaissance de compte valide.

La faille réside dans la bibliothèque de traitement du protocole Extended Passport Protocol (EPP), intégrée au noyau SAP et au SAP Web Dispatcher. L'Internet Communication Manager (ICM) est le composant réseau de SAP Application Server qui gère toutes les communications HTTP, HTTPS et SMTP entre les systèmes SAP et le monde extérieur. C'est précisément lui qui analyse les trames EPP en entrée, avant toute vérification d'identité. Une requête EPP malformée permet de déclencher un débordement de tampon, d'écraser la pile d'exécution et de détourner le flux de contrôle vers un shellcode arbitraire — le tout depuis Internet, sans authentification.

Les versions affectées couvrent un périmètre exceptionnellement large : KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, et l'intégralité des branches 9.16 à 9.20. Ce spectre englobe des déploiements SAP ERP, SAP S/4HANA, SAP NetWeaver et les Web Dispatchers utilisés en frontal dans la quasi-totalité des architectures SAP modernes. Selon les estimations d'Onapsis, plus de 10 000 systèmes SAP accessibles depuis Internet utilisent les composants vulnérables.

Une exploitation réussie d'OVERPASS donne à l'attaquant un contrôle administratif complet sur les processus SAP de la machine cible : accès à la totalité des données métier (financières, RH, chaîne logistique, données clients), capacité de modification ou destruction des données, possibilité de création de backdoors persistantes, et tremplin pour un mouvement latéral vers le reste du réseau interne. Dans un contexte ERP où SAP centralise les flux les plus critiques d'une organisation, ce vecteur représente une clé maîtresse vers les actifs les plus sensibles.

Le bulletin de septembre 2026 comporte également trois autres failles critiques (CVSS supérieur ou égal à 9.0) : une injection de commandes dans SAP NetWeaver, une vulnérabilité XSS dans SAP Cloud Platform permettant une escalade de privilèges en environnement multi-tenant, et une faille dans le traitement Extended Passport par SAP GUI for Windows. Ces 16 autres vulnérabilités touchent SAP S/4HANA, SAP BTP et divers modules d'extension, mais OVERPASS reste de très loin le risque le plus urgent.

SAP a mis les correctifs à disposition via le SAP Support Portal le 9 septembre 2026. Pour les organisations ne pouvant pas appliquer immédiatement les patches, SAP recommande comme mesure transitoire de restreindre les accès entrants aux ports ICM (80/443) aux seules sources réseau de confiance via des règles de pare-feu, et de désactiver le traitement EPP sur les instances non nécessaires. Ces mesures palliatives réduisent la surface d'attaque sans éliminer la vulnérabilité sous-jacente.

Onapsis a développé un plugin de détection dédié intégré à sa plateforme. Le cabinet recommande d'identifier en priorité tous les Web Dispatchers et instances SAP ICM exposés sur des interfaces réseau publiques ou semi-publiques, d'activer les règles de détection sur le trafic EPP anormal, et d'appliquer les correctifs dans un délai maximal de 24 à 48 heures. L'historique des failles SAP CVSS 10.0 est éloquent : la faille RECON (CVE-2020-6287) avait été exploitée activement moins d'une semaine après la publication du correctif. La fenêtre est donc extrêmement courte.

La criticité d'OVERPASS est accentuée par la concomitance avec le Patch Tuesday Microsoft de septembre 2026 adressant 973 correctifs supplémentaires le même jour. Ce stress opérationnel pour les équipes de sécurité ne doit pas conduire à reporter le patch SAP : la surface d'attaque réseau d'OVERPASS est plus directe et plus standardisée que la majorité des vecteurs Windows de ce mois-ci. Une priorisation basée sur l'exposition effective — instances ICM Internet-facing en premier — permet de rationaliser l'effort.

Les ERP deviennent des cibles de premier rang pour les acteurs étatiques et les ransomwares

OVERPASS s'inscrit dans une tendance documentée depuis plusieurs années : les systèmes ERP, longtemps considérés comme protégés par leur complexité, sont désormais ciblés directement par les acteurs offensifs les plus sophistiqués. SAP gère les processus les plus critiques de plus de 440 000 organisations dans 180 pays, dont la quasi-totalité des entreprises du Fortune 500. Cette concentration de données financières, opérationnelles et personnelles en fait une cible de premier rang pour les ransomwares comme pour l'espionnage industriel et étatique.

Dès 2022, des groupes ransomware avaient intégré des exploits SAP NetWeaver dans leurs chaînes d'attaque initiales, ciblant des instances ICM exposées via des scans automatisés. Des groupes APT à motivation financière et étatique ont documenté des capacités à identifier et exploiter des instances SAP vulnérables à grande échelle. La surface de 10 000 systèmes Internet-facing identifiée par Onapsis est probablement déjà cartographiée par les acteurs offensifs les mieux informés.

Pour les équipes RSSI et responsables de sécurité opérationnelle, OVERPASS doit recevoir un traitement P0, au même niveau qu'un zero-day activement exploité. Les organisations soumises à NIS2 ou à DORA ont une obligation de diligence documentée sur leurs actifs critiques : un ERP SAP non patché sur une faille CVSS 10.0 de cette nature constitue un manquement manifeste aux exigences de gestion des risques. Les audits de certification ISO 27001, SOC 2 et les évaluations cyberassurance intègrent désormais le patch management SAP dans leurs critères de contrôle.

La simultanéité d'OVERPASS avec le Patch Tuesday Microsoft illustre un phénomène récurrent : les grandes campagnes de correctifs simultanées sur plusieurs éditeurs majeurs créent des fenêtres de vulnérabilité étendues pour les organisations qui ne parviennent pas à traiter tous les patches en parallèle. Une maturité de patch management permettant de classer les correctifs par score CVSS effectif — et non par éditeur — est la seule réponse structurellement adaptée à cette réalité opérationnelle de 2026.

Ce qu'il faut retenir

• CVE-2026-44756 (OVERPASS) est un buffer overflow CVSS 10.0 dans le noyau SAP et le Web Dispatcher, exploitable sans authentification via l'ICM depuis Internet.
• Plus de 10 000 systèmes SAP Internet-facing sont exposés ; un exploit réussi donne un accès administratif complet aux données ERP et ouvre la voie au mouvement latéral.
• Appliquer les correctifs SAP de septembre 2026 sous 24 à 48 heures sur toutes les instances ICM exposées ; restreindre les ports ICM en urgence si le patch immédiat est impossible.