En bref

  • SAP publie 38 correctifs le 10 novembre 2026, dont 9 notes critiques incluant 4 failles CVSS 10.0
  • CVE-2026-89126 affecte SAP Web Dispatcher : RCE non authentifié par corruption mémoire
  • Appliquer immédiatement les SAP Security Notes de novembre 2026 via SAP Launchpad

Les faits

Le 10 novembre 2026, SAP a publié son bulletin mensuel de sécurité — le SAP Security Patch Day — incluant 38 nouvelles entrées CVE. Parmi ces correctifs, neuf sont classés « critiques » avec un score CVSS 3.1 d’au moins 9.0. Quatre d’entre eux atteignent le score maximum de 10.0, ce qui représente un pic inhabituel même selon les standards élevés des mises à jour SAP.

La vulnérabilité la plus sévère, référencée CVE-2026-89126, touche SAP Web Dispatcher, le composant de routage HTTP et HTTPS qui fait office de proxy inverse et d’équilibreur de charge en amont des instances SAP NetWeaver. Un attaquant non authentifié peut envoyer des paquets réseau spécifiquement forgés pour provoquer une corruption mémoire dans le composant interne de traitement des requêtes. Selon les analyses publiées par SecurityOnline et TheHackerWire, l’exploitation réussie permet l’exécution de code arbitraire avec les privilèges du processus SAP Web Dispatcher, entraînant la compromission totale du système hôte.

Une seconde faille CVSS 10.0, référencée CVE-2026-76964, cible l’Internet Communication Manager (ICM) d’AS ABAP. Ce composant gère toutes les communications HTTP/HTTPS entre SAP et les systèmes externes. La nature de la vulnérabilité est similaire — corruption mémoire via des requêtes réseau malformées — mais l’impact est potentiellement encore plus large puisque l’ICM est présent dans la quasi-totalité des déploiements SAP ECC, S/4HANA et BTP.

En dehors de ces deux failles critiques sur les couches réseau de SAP, les chercheurs d’Onapsis et SecurityBridge ont identifié dans ce patch day des vulnérabilités affectant SAP NetWeaver Application Server Java, SAP BusinessObjects Business Intelligence Platform, et SAP HANA Database. Ces produits constituent le socle technologique d’une majorité de grandes entreprises et administrations mondiales, ce qui explique l’attention portée par les équipes de threat intelligence à ce bulletin.

L’édition de novembre 2026 est particulièrement dense : avec 38 CVEs en une seule journée, SAP dépasse sa moyenne mensuelle habituelle d’une vingtaine de notes de sécurité. Ce volume traduit en partie l’intensification du travail des chercheurs en vulnérabilités sur l’écosystème SAP, mais aussi l’effort interne de SAP pour rattraper des dettes techniques sur des composants vieillissants comme Web Dispatcher et ICM, dont certaines architectures remontent aux années 2000.

À l’heure de la publication de cet article, aucun exploit public n’a été confirmé pour CVE-2026-89126 ou CVE-2026-76964, et ces vulnérabilités ne figurent pas encore dans le catalogue KEV de la CISA. Cependant, l’historique des correctifs SAP montre que les délais entre la publication d’un patch critique et les premières tentatives d’exploitation se sont considérablement raccourcis en 2025-2026. Des groupes comme APT41 (Winnti) sont connus pour cibler prioritairement les systèmes SAP accessibles depuis Internet dans les 72 heures suivant un patch day.

Les administrateurs SAP BASIS ont jusqu’ici bénéficié d’une fenêtre de quelques semaines pour tester et déployer les correctifs dans des environnements complexes. Cette fenêtre se rétrécit. Le CERT-FR et SAP eux-mêmes recommandent désormais de prioriser les notes critiques pour déploiement en urgence, quitte à contourner les cycles de test habituels pour les composants exposés sur Internet.

Un élément supplémentaire mérite attention : la complexité des environnements SAP hybrides, où coexistent des instances on-premise héritées et des systèmes SAP BTP cloud, complique la gestion des correctifs. Certains clients SAP BTP reçoivent les mises à jour automatiquement via SAP, mais les composants on-premise (Web Dispatcher, ICM, Kernel) restent sous la responsabilité du client. C’est précisément sur ces composants auto-gérés que se concentrent CVE-2026-89126 et CVE-2026-76964. Selon les estimations de SecurityBridge, plus de 50 000 instances SAP Web Dispatcher sont exposées sur Internet à l’échelle mondiale — un chiffre qui donne la mesure de l’enjeu.

Impact et exposition

Les organisations les plus exposées sont celles qui font tourner SAP Web Dispatcher ou SAP NetWeaver AS ABAP avec ICM directement accessibles depuis Internet, ou depuis des zones DMZ sans filtrage applicatif strict. Les grandes entreprises industrielles, les collectivités publiques et les opérateurs d’importance vitale (OIV) utilisant SAP ERP sont en première ligne. Les secteurs les plus représentés parmi les clients SAP en France — industrie, énergie, grande distribution, secteur public — correspondent précisément aux cibles prioritaires des APT et des groupes ransomware en 2026.

Recommandations

  • Appliquer immédiatement les SAP Security Notes de novembre 2026 en priorisant les notes critiques pour SAP Web Dispatcher et SAP NetWeaver AS ABAP ICM
  • Vérifier via SAP Launchpad quelles versions Kernel et Web Dispatcher sont déployées et les comparer aux prérequis des notes de sécurité
  • Isoler temporairement du réseau public les instances SAP Web Dispatcher et ICM non encore patchées
  • Activer la journalisation des accès réseaux anormaux sur les ports 80, 443, 8000 et 44300 des instances SAP
  • Vérifier la configuration des ACL réseaux : seuls les IP autorisées devraient accéder au Web Dispatcher

Alerte critique

CVE-2026-89126 (CVSS 10.0) permet l’exécution de code à distance sans authentification sur SAP Web Dispatcher. Dans un contexte où des groupes APT scannent activement les systèmes SAP après chaque patch day, le déploiement du correctif doit être traité en urgence, hors cycle standard.

Comment savoir si mon SAP Web Dispatcher est vulnérable à CVE-2026-89126 ?

Connectez-vous à SAP Launchpad et consultez la SAP Security Note correspondant à CVE-2026-89126 pour obtenir les numéros de version Kernel et Web Dispatcher affectés. En parallèle, vérifiez la version installée via la transaction SMICM (menu Goto → Version Information) ou la commande sapdisp -v. Si votre version figure dans la plage affectée et que vous n’avez pas appliqué le Kernel Patch du patch day de novembre 2026, le système est vulnérable.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu’elles ne soient exploitées.

Demander un audit