SAP corrige une faille du noyau notée CVSS 10.0 qui ne demande aucun identifiant
OVERPASS, une corruption de mémoire dans le traitement Extended Passport de SAP, permet à un attaquant non authentifié d'exécuter des commandes sur l'hôte. Un seul correctif du noyau la ferme.
Sur cette page
La journée de correctifs de sécurité de septembre de SAP, le 8 septembre, semblait routinière sur le papier : 22 avis de sécurité. Quatre des nouveaux avis étaient classés HotNews, le niveau de gravité le plus élevé de SAP, et l'un d'eux est aussi grave qu'une faille de logiciel d'entreprise puisse l'être.
À lire aussi: Le Patch Tuesday d'octobre 2026 de Microsoft établit un record avec 1 407 correctifs · WordPress corrige Comment2Shell, une faille dans les commentaires menant à la prise de contrôle du serveur.
Identifiée CVE-2026-44756 et baptisée OVERPASS par les chercheurs qui l'ont découverte, la vulnérabilité est une corruption de mémoire dans le traitement par le noyau SAP de l'Extended Passport (EPP), la structure de traçage standard que les clients joignent à leurs requêtes. Elle porte le score CVSS maximal possible : 10.0. Elle est exploitable à distance et sans authentification, existe par défaut dans un large éventail de composants SAP et permet à un attaquant d'exécuter des commandes systèmes arbitraires sur l'hôte SAP avec des privilèges d'administrateur SAP, soit la compromission totale des données et des processus métier sous-jacents.
Aucun contrôle seul ne vous protège
La faille réside dans du code du noyau partagé par plusieurs protocoles. Elle est accessible depuis la couche web exposée à internet (via l'Internet Communication Manager de SAP en HTTP, HTTPS et SMTP), depuis la couche SAP GUI à laquelle se connecte chaque utilisateur, et depuis la couche RFC qui relie les systèmes SAP entre eux. Aucun de ces chemins n'exige d'identifiants : aucun contrôle réseau isolé ne réduit donc totalement le risque.
Comment cela fonctionne
Selon Onapsis Research Labs, qui a identifié la faille et l'a divulguée de manière responsable à SAP, il s'agit d'une vérification de limites manquante lors de la désérialisation des données EPP. Lorsque le noyau traite des champs de longueur fournis de l'extérieur, l'absence de validation provoque une violation de la sécurité mémoire. Un attaquant non authentifié envoie des requêtes réseau forgées contenant un en-tête EPP malformé, déclenchant un comportement indéfini qui peut être transformé en exécution de code.
SAP a publié le correctif dans la note de sécurité 3747649, un correctif du noyau qui, selon Onapsis, ferme toutes les voies d'accès décrites en une seule mise à jour. Il couvre les noyaux ABAP et Java ainsi que SAP Web Dispatcher version 9.16. Les autres versions de Web Dispatcher, et Web Dispatcher au sein des SAP HANA Extended Application Services, ne sont pas concernés, selon SAP. Les noyaux touchés incluent les gammes KRNL64NUC/KRNL64UC 7.22 à 8.04 et les branches KERNEL principales de 7.22 à 9.20.
Onapsis estime que plus de 10 000 systèmes SAP exposés à internet exécutent le composant vulnérable, selon BleepingComputer.
Pas encore d'exploitation
Au 9 septembre, Onapsis a déclaré n'avoir observé aucune exploitation active dans la nature, et les notes de SAP n'en mentionnent pas non plus. C'est la bonne nouvelle, et c'est aussi la partie à la durée de vie courte. Les propres recommandations d'Onapsis rappellent que les attaquants ont historiquement rétro-ingénierie des correctifs SAP en une septantaine d'heures, et que les outils assistés par IA réduisent encore cette fenêtre.
Les points de référence sont édifiants. OVERPASS ressemble aux vulnérabilités ICMAD de 2022, elles aussi logées dans du code du noyau SAP partagé et notées 10.0, qui avaient démontré l'ampleur du rayon d'impact d'une faille du noyau. L'exploitation massive en 2025 de CVE-2025-31324, que le rapport Mandiant de 2026 a qualifiée de vulnérabilité la plus exploitée de l'année, a montré ce qui se passe lorsqu'une faille SAP critique pré-authentification est transformée en arme avant que les défenseurs ne réagissent.
Que faire
La remédiation est inhabituellement propre pour une faille aussi grave. Onapsis recommande de traiter le correctif comme une priorité absolue :
- Inventorier d'abord. Vérifiez la version du noyau SAP et le niveau de correctif par rapport à la note de sécurité 3747649, et considérez tout système non corrigé comme concerné.
- Appliquer le correctif du noyau. C'est la solution définitive. Des contrôles HTTP partiels existent dans des notes d'accompagnement (3756304 et 3776034), mais selon Onapsis, seul le correctif du noyau ferme toutes les voies d'exploitation.
- Ne pas attendre une fenêtre de maintenance que vous regretterez. Vu l'accessibilité depuis les couches RFC et GUI, et pas seulement depuis le web, il n'existe pas de périmètre propre derrière lequel se cacher.
- Surveiller le réarmement. Un 10.0 sans identifiants est une cible de grande valeur pour les rançongiciels et les courtiers d'accès initial; l'absence d'exploitation aujourd'hui n'est pas une prévision pour le mois prochain.
Les autres notes HotNews de la même journée méritent elles aussi un examen : CVE-2026-58231 dans l'adaptateur Data Hub de SAP Commerce Cloud (également 10.0), CVE-2026-58240 (S4GET) dans le Message Server de NetWeaver (9.8), CVE-2026-76969 dans le Cloud Application Programming Model (9.4) et CVE-2026-66768 dans SAP GUI for Java (9.0).
La leçon
Un CVSS 10.0, aucun identifiant requis, accessible depuis trois couches de protocole, et corrigé par un correctif du noyau que vous avez peut-être déjà. Le plus difficile ici n'est pas l'exploit : c'est l'inventaire des actifs.
Étiquettes
TPW Editorial
Rédaction
L'équipe éditoriale de TechPastWeek enquête et édite chaque article publié. Chaque sujet est recoupé avec des sources primaires et secondaires fiables, et un éditeur le relit avant publication.
