Avis du CERT-FR

Avis du CERT-FR Json Objet : Multiples vulnérabilités dans les produits SAP Gestion du document Référence CERTFR-2026-AVI-1300 Titre Multiples vulnérabilités dans les produits SAP Date de la première version13 octobre 2026 Date de la dernière version13 octobre 2026 Source(s) Bulletin de sécurité SAP october-2026 du 13 octobre 2026 Une gestion de version détaillée se trouve à la fin de ce document. Risques Atteinte à la confidentialité des données Contournement de la politique de sécurité Exécution de code arbitraire à distance Falsification de requêtes côté serveur (SSRF) Injection de code indirecte à distance (XSS) Injection SQL (SQLi) Non spécifié par l'éditeur Systèmes affectés ABAP Platform versions KERNEL 7.93 et 9.16 sans le dernier correctif de sécurité Cloud Connector version SAP_CLOUD_CONNECTOR 2.0 sans le dernier correctif de sécurité Commerce Cloud (OOTB Code) version COM_CLOUD 2211-JDK21 sans le dernier correctif de sécurité HANA (Display Product Catalog Based on Customs Declaration) versions GTSCORE 200 et 300 sans le dernier correctif de sécurité Manufacturing Integration and Intelligence (Configuration Service) versions XMII 15.4 et 15.5 sans le dernier correctif de sécurité Manufacturing Integration and Intelligence versions XMII 15.4 et 15.5 sans le dernier correctif de sécurité NetWeaver ABAP Platform versions S4CRM 100, 200, 204, 205, 206, S4CEXT 107, 108, BBPCRM 713 et 714 sans le dernier correctif de sécurité NetWeaver Application Server ABAP (Applications based on GUI for HTML) versions SAP_BASIS 731, SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758 et SAP_BASIS 816 sans le dernier correctif de sécurité NetWeaver Application Server pour ABAP versions SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816 et SAP_BASIS 918 sans le dernier correctif de sécurité NetWeaver Enterprise Portal version EP-ADMIN 7.50 sans le dernier correctif de sécurité NetWeaver Enterprise Portal version EP-RUNTIME 7.50 sans le dernier correctif de sécurité NetWeaver et Web Dispatcher (Internet Communication Manager) versions HDB 2.00, KRNL64UC 7.53, WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1, CONTSERV 7.53, 7.54, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.19 et 9.20 sans le dernier correctif de sécurité NetWeaver Visual Composer version VC70RUNTIME 7.50 sans le dernier correctif de sécurité S/4HANA (Linear Asset Management RAP Business Object) version S4CORE 109 sans le dernier correctif de sécurité S/4HANA (Manage Substitution/Validation Rules) versions S4CORE 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité SAPUI5 (Support Assistant Overlay) version SAP_UI 754 sans le dernier correctif de sécurité SAPUI5 versions SAP_UI 750, 754, 755, 756, 757, 758, 816 et UI_700 200 sans le dernier correctif de sécurité Résumé De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données et une injection SQL (SQLi).

Solutions Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). Documentation Bulletin de sécurité SAP october-2026 du 13 octobre 2026 https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2026.html Référence CVE CVE-2025-42938 https://www.cve.org/CVERecord?id=CVE-2025-42938 Référence CVE CVE-2026-24316 https://www.cve.org/CVERecord?id=CVE-2026-24316 Référence CVE CVE-2026-58242 https://www.cve.org/CVERecord?id=CVE-2026-58242 Référence CVE CVE-2026-58249 https://www.cve.org/CVERecord?id=CVE-2026-58249 Référence CVE CVE-2026-76972 https://www.cve.org/CVERecord?id=CVE-2026-76972 Référence CVE CVE-2026-76975 https://www.cve.org/CVERecord?id=CVE-2026-76975 Référence CVE CVE-2026-76976 https://www.cve.org/CVERecord?id=CVE-2026-76976 Référence CVE CVE-2026-89105 https://www.cve.org/CVERecord?id=CVE-2026-89105 Référence CVE CVE-2026-89106 https://www.cve.org/CVERecord?id=CVE-2026-89106 Référence CVE CVE-2026-89107 https://www.cve.org/CVERecord?id=CVE-2026-89107 Référence CVE CVE-2026-89108 https://www.cve.org/CVERecord?id=CVE-2026-89108 Référence CVE CVE-2026-89110 https://www.cve.org/CVERecord?id=CVE-2026-89110 Référence CVE CVE-2026-89111 https://www.cve.org/CVERecord?id=CVE-2026-89111 Référence CVE CVE-2026-89112 https://www.cve.org/CVERecord?id=CVE-2026-89112 Référence CVE CVE-2026-89113 https://www.cve.org/CVERecord?id=CVE-2026-89113 Référence CVE CVE-2026-89116 https://www.cve.org/CVERecord?id=CVE-2026-89116 Référence CVE CVE-2026-89117 https://www.cve.org/CVERecord?id=CVE-2026-89117 Référence CVE CVE-2026-89118 https://www.cve.org/CVERecord?id=CVE-2026-89118 Référence CVE CVE-2026-89120 https://www.cve.org/CVERecord?id=CVE-2026-89120 Référence CVE CVE-2026-89121 https://www.cve.org/CVERecord?id=CVE-2026-89121 Référence CVE CVE-2026-89122 https://www.cve.org/CVERecord?id=CVE-2026-89122 Référence CVE CVE-2026-89124 https://www.cve.org/CVERecord?id=CVE-2026-89124 Gestion détaillée du document Date Description 13 octobre 2026 Version initiale