SAP : une faille de gravité maximale permet de voler des identifiants dans les applis cloud, mettez à jour
Le Patch Day d'octobre de SAP corrige une vingtaine de failles, dont une de gravité maximale dans le SDK Python de sa plateforme cloud BTP. Un attaquant sans compte peut détourner des identifiants de connexion.
Si votre entreprise tourne sous SAP, il y a de fortes chances qu’elle soit concernée. L’éditeur allemand, dont les logiciels gèrent la comptabilité, les stocks ou la paie d’une grande partie des grandes entreprises européennes, a publié le mardi 13 octobre 2026 ses correctifs mensuels. Au programme : une vingtaine de failles, dont une de gravité maximale.
La faille la plus grave
Elle porte le nom de CVE-2026-89111 et touche le SAP Cloud SDK for Python. C’est une boîte à outils qui sert aux développeurs à créer des applications Python, et notamment des agents d’IA, sur SAP BTP, la plateforme cloud de l’éditeur.
Il s’agit d’une faille de type SSRF (falsification de requête côté serveur). Concrètement, elle concerne les applications qui servent plusieurs clients à la fois (on parle d’applications « multi-locataires »).
Pour se connecter aux services SAP, ces applications demandent un jeton d’accès, une sorte de badge numérique. Pour savoir à quelle adresse le demander, elles se basent sur un paramètre qui identifie le client (le « sous-domaine du locataire »). Si un attaquant peut modifier ce paramètre, il peut rediriger la demande vers un serveur qu’il contrôle. Il récupère alors les identifiants secrets de l’application.
Le plus inquiétant : l’attaquant n’a besoin d’aucun compte ni d’aucun droit particulier. D’où la note de gravité maximale.
À ce stade, aucune exploitation de cette faille n’a été signalée.
Deux autres failles critiques
SAP corrige aussi deux autres failles jugées critiques :
- CVE-2026-89110 dans SAP NetWeaver Visual Composer, un outil de création d’interfaces. Un attaquant disposant d’un compte aux droits limités peut prendre le contrôle complet du système, à cause d’un mauvais contrôle des accès.
- CVE-2026-89108 dans SAP Manufacturing Integration and Intelligence, utilisé dans l’industrie. Un attaquant déjà administrateur de l’application peut créer un compte aux pouvoirs étendus et prendre la main sur le système qui l’héberge.
Pourquoi il ne faut pas traîner
Les failles SAP intéressent beaucoup les pirates, car ces systèmes contiennent les données les plus précieuses des entreprises. Cet été, une faille critique de SAP Commerce Cloud, corrigée en août, avait été exploitée quelques jours seulement après la publication du correctif.
Ce qu’il faut faire
- Développeurs sur SAP BTP : mettez à jour le SDK Python vers la version corrigée indiquée dans l’avis de sécurité de SAP.
- En attendant, SAP recommande de vérifier le sous-domaine du locataire contre une liste des clients enregistrés avant de l’utiliser dans le moindre appel au SDK.
- Équipes SAP : appliquez en priorité les correctifs pour Visual Composer et Manufacturing Integration and Intelligence si vous utilisez ces modules.
- Et comme chaque mois, passez en revue l’ensemble des notes de sécurité d’octobre sur le portail de support SAP.