SAP Patch Day novembre 2026 : quatre failles critiques sans authentification
Le 10 novembre 2026, SAP a déployé une série de correctifs de sécurité. Parmi eux, quatre vulnérabilités ont atteint le score maximal de CVSS 10.0, et elles peuvent être exploitées par des acteurs externes sans nécessiter d’authentification. Il s’agit notamment d’un contournement d’authentification SAML2 dans AS ABAP, d’une faiblesse dans le contrôle d’accès par défaut de SAP Gateway, et de débordements de tas touchant Web Dispatcher et l’ICM.
Ces failles, dont certaines sont classées en « HotNews », imposent une attention immédiate. RedRays, après avoir examiné les notes dans SAP for Me, insiste sur le fait que la mise à jour du noyau et de tous les Web Dispatcher doit être prioritaire pour les environnements concernés.
Ce qui est touché par les failles sans authentification
Le risque se déploie sur plusieurs composantes de l’écosystème SAP. Le contournement SAML2 (CVE-2026-120017) signifie que si un système utilise SAML pour le passage de relais d’identité via un fournisseur d’identité, un attaquant peut forger une réponse et se connecter comme n’importe quel utilisateur, y compris un administrateur. SAP indique qu’il n’y a aucun contournement pour cette faille ; seul un correctif est viable.
SAP Gateway (CVE-2026-89103) présente une faiblesse dans sa liste de contrôle d’accès par défaut. Si les règles explicites ne sont pas en place, un attaquant externe peut se faire passer pour un serveur d’application interne, ce qui permet des actions non autorisées.
Enfin, deux failles touchent les couches réseau : le débordement de tas via WebSocket dans l’ICM et Web Dispatcher (CVE-2026-76964 et CVE-2026-89126). Ces défauts permettent à un trafic réseau spécialement construit de corrompre la mémoire avant même toute tentative de connexion, offrant une porte d’entrée directe pour l’exécution de code.
Qui doit agir et comment
La complexité réside dans le fait que les correctifs sont répartis entre le noyau SAP, le Web Dispatcher autonome, ou les deux. RedRays recommande de planifier un déploiement unique qui couvre les niveaux nécessaires pour adresser l’ensemble des correctifs du mois.
Pour la faille SAML2, les équipes doivent vérifier manuellement chaque fournisseur d’identité de confiance dans la transaction SAML2 et examiner les journaux d’audit pour détecter des connexions inhabituelles de comptes privilégiés. Concernant Gateway, il est conseillé, après l’application du patch, de s’assurer que le paramètre gw/acl_mode_proxy est activé sur les noyaux concernés et que les règles secinfo et reginfo sont explicites.
Les systèmes exposés à l’ICM doivent être protégés en patchant le Web Dispatcher s’il est utilisé comme intermédiaire. Désactiver WebSocket est une solution de dernier recours qui entraînerait la rupture de fonctionnalités dépendantes.
Des vulnérabilités moins critiques, telles que le CSRF dans les interfaces d’administration ou l’XXE dans BusinessObjects Web Intelligence, existent également, mais les quatre failles CVSS 10.0 demeurent la principale source d’alerte de cette journée de patch.
Il faudra surveiller attentivement les correctifs publiés pour les systèmes basés sur SAP BTP, où deux failles hors cycle (CVSS 9.8) nécessitent un restage des applications après l’application des correctifs de construction.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-120017 | — | Critique (CVSS 10,0) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-44748 | — | Critique (CVSS 9,9) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-76964 | — | Critique (CVSS 10,0) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- SAP Security Patch Day November 2026, redrays.io
- SAP Note 3849308: SAML2 Authentication Bypass (CVE-2026-120017), redrays.io
- SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Execution, The Hacker News, 10 novembre 2026
- GHSA-7x9g-g222-fmqj : SAP NetWeaver AS ABAP and ABAP Platform does not perform sufficient verification of…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-120017, NVD (NIST)
- GHSA-c2v4-jg9m-jgrr : SAP NetWeaver Application Server ABAP and ABAP Platform allows an authenticated attacker…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-44748, NVD (NIST)
- GHSA-5hvr-9cj9-6mcg : SAP NetWeaver Application Server ABAP does not sufficiently validate certain network…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-76964, NVD (NIST)
