SAP : quatre failles notées 10,0, corrigeables sans compte sur le réseau

Le 10 novembre 2026, jour de correctifs de SAP, l’éditeur a publié 35 nouvelles notes de sécurité et quatre avis GitHub, plus trois mises à jour de notes déjà sorties. Quatre notes sont notées 10,0 sur l’échelle CVSS 3.0, le maximum, avec la priorité « critique » et le vecteur réseau, sans identifiant et sans interaction.

Deux corruptions de mémoire, un seul bug selon Onapsis

La note 3778530, CVE-2026-76964, concerne une corruption de mémoire dans l’Internet Communication Manager de SAP NetWeaver AS ABAP. La page de SAP liste les noyaux KRNL64UC 7.53 et KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 et 9.20.

La note 3778556, CVE-2026-89126, est la corruption de mémoire du SAP Web Dispatcher, y compris celui embarqué dans SAP HANA. Les versions citées vont de HDB 2.00 et WEBDISP 7.53 à 9.16, en passant par les mêmes lignes de noyau et par XS Advanced.

Onapsis, dont les chercheurs ont signalé les deux failles, les réunit sous le nom ICM2SHELL. Le code touché est partagé : il réassemble les messages du protocole qui maintient une connexion ouverte entre le navigateur et le serveur. Le support de ce protocole est activé par défaut, que les applications s’en servent ou non. Une personne qui peut joindre le port HTTP ou HTTPS peut, selon Onapsis, corrompre la mémoire du processus et lancer des commandes du système d’exploitation sous le compte qui possède l’installation SAP, ou faire planter le processus. Le Web Dispatcher, souvent placé face à Internet, réassemble lui-même ces messages : le composant qui protège les systèmes derrière lui est donc exposé en premier. Onapsis dit avoir fourni à SAP une démonstration, et ne pas avoir observé d’exploitation au jour de la publication. Les noyaux hors maintenance 7.40, 7.41, 7.42, 7.45, 7.49, 7.73, 7.81, 7.85 et 7.89 sont aussi touchés et peuvent ne pas recevoir de correctif. Le noyau 7.22 ne l’est pas, pour ces deux CVE. La note FAQ 3778788 décrit des contournements temporaires, qui ne remplacent pas les notes 3778530 et 3778556.

La passerelle et SAML, au même score

La note 3798345, CVE-2026-89103, est un contrôle d’accès défaillant dans SAP Gateway, score 10,0. SAP liste les noyaux 7.22, 7.22EXT, 7.53, 8.04, puis 7.54, 7.77, 7.93, 9.16, 9.20 et 9.21, en Unicode et, pour les plus anciens, aussi en non-Unicode. Onapsis, qui l’a signalée sous le nom PROXYGATE, la décrit comme exécutable avant authentification : selon la liste qui autorise les connexions relais, un tiers extérieur peut être traité comme l’un des serveurs applicatifs du système, puis lancer des commandes sous le compte de l’installation. La FAQ est la note 3810197. Là non plus, Onapsis ne dit pas avoir vu d’attaque.

La note 3849308, CVE-2026-120017, est une authentification manquante du fournisseur de services SAML 2 de NetWeaver AS ABAP et de la plateforme ABAP, score 10,0. SAP liste les versions SAP_BASIS 702, 731, 740, puis de 750 à 758, ainsi que 816, 920, 921 et 922. Le texte public du bulletin s’arrête à ce titre : il ne détaille pas le scénario. Les notes elles-mêmes sont sur le portail SAP, qui demande une connexion.

Le même bulletin contient d’autres notes critiques à 9,9, dont une injection de code dans Knowledge Management et une injection de commande dans le serveur d’applications ABAP. Une faille distincte du kit Cloud pour Python, déjà traitée dans un article précédent, n’est pas l’une de ces quatre notes au score 10,0.

SAP demande d’appliquer les correctifs en priorité. Pour les deux corruptions de mémoire et la passerelle, le correctif est dans le noyau : chaque serveur d’applications et chaque Web Dispatcher compte, pas seulement l’instance principale.

Sources

Bulletin des notes de sécurité de novembre 2026, SAP, 10 novembre 2026.

Avis ICM2SHELL, Onapsis Research Labs, 10 novembre 2026, notes 3778530, 3778556 et FAQ 3778788.

Avis PROXYGATE, Onapsis Research Labs, publié le 10 novembre 2026 à 11 h 03 UTC, note 3798345 et FAQ 3810197.