Le 14 octobre 2026, SAP a publié 21 notes de sécurité dans le cadre de son Patch Day mensuel, dont trois HotNews atteignant des scores CVSS de 9,9 et 9,1 sur 10. Deux failles critiques touchent respectivement SAP S/4HANA et SAP NetWeaver Visual Composer, une troisième affecte SAP Manufacturing Integration and Intelligence (MII). Les Onapsis Research Labs ont contribué à identifier 10 des 21 vulnérabilités corrigées ce cycle (All About Security, 14 octobre 2026).
Contexte : un calendrier mensuel de patches qui ne souffre pas de délai
Le SAP Patch Day est publié le deuxième mardi de chaque mois. Pour les organisations opérant SAP S/4HANA, SAP ERP ou SAP NetWeaver, appliquer les HotNews (score CVSS supérieur ou égal à 9,0) dans les 72 heures suivant leur publication est la recommandation de référence de l’équipe sécurité SAP. En pratique, beaucoup d’organisations planifient une fenêtre de maintenance mensuelle calée sur ce calendrier.
Ce cycle d’octobre 2026 est particulièrement dense : 21 advisories au total, dont 3 HotNews et 4 notes de priorité haute. Les Onapsis Research Labs, qui pratiquent la divulgation responsable en coordination avec la SAP Product Security Response Team, ont contribué à 10 de ces 21 corrections, couvrant SAP MII, NetWeaver Enterprise Portal et la plateforme ABAP (All About Security, 14 octobre 2026).
Les trois failles en détail
CVE-2026-89107 (SAP Note #3805589, CVSS 9,9) : injection de code dans SAP S/4HANA
La faille la plus critique du cycle affecte les applications SAP Fiori de gestion des règles de substitution et de validation dans SAP S/4HANA. Un utilisateur authentifié disposant d’un certain rôle métier peut exécuter du code arbitraire sur le système hôte. Le score CVSS 9,9 tient compte de l’impact systémique et de la relative facilité d’exploitation pour qui possède déjà un accès applicatif (ibid.).
CVE-2026-89110 (SAP Note #3797111, CVSS 9,9) : contrôle d’accès défaillant dans SAP NetWeaver Visual Composer
Une restriction d’accès insuffisante sur les fonctions portail de NetWeaver Visual Composer permet à un attaquant de compromettre complètement des systèmes distants préconfigurés. Ce type de faille est particulièrement préoccupant dans les architectures où NetWeaver sert de couche d’intégration entre l’ERP et des systèmes tiers exposés sur le réseau d’entreprise (ibid.).
CVE-2026-89108 (SAP Note #3798788, CVSS 9,1) : escalade de privilèges dans SAP MII
La faille dans le Configuration Service de SAP Manufacturing Integration and Intelligence (MII) permet à un attaquant de créer un compte administrateur sur le serveur d’application Java. Dans les usines connectées où SAP MII orchestre les flux entre ERP et systèmes de production (SCADA, MES), cette élévation de privilèges peut ouvrir un accès direct aux lignes de production (ibid.).
Impact pour les organisations : trois raisons de traiter ces patches en urgence
Un CVSS 9,9 n’est pas une anomalie statistique. L’échelle CVSS va de 0 à 10. Un score de 9,9 est quasi-maximal et indique une combinaison de facteurs aggravants : exploitabilité élevée, et impact de confidentialité, d’intégrité et de disponibilité tous au niveau le plus sévère. Pour CVE-2026-89107, l’accès authentifié requis est le seul frein, ce qui signifie qu’un compte compromis ou un collaborateur malveillant suffit à déclencher une exécution de code arbitraire sur le système.
Le contexte de migration vers S/4HANA amplifie l’exposition. La fin du support SAP ECC est programmée pour fin 2027. Beaucoup d’organisations gèrent actuellement un paysage hybride : instances ECC en production, environnements S/4HANA en parallèle pour les tests ou les nouvelles entités. Cette coexistence multiplie la surface d’attaque, notamment parce que les interfaces inter-systèmes sont souvent configurées avec des droits larges pour faciliter les travaux de migration.
NetWeaver Visual Composer : un composant souvent oublié dans les revues de sécurité. Contrairement aux modules fonctionnels SAP, Visual Composer est une couche technique qui retient peu l’attention des équipes métier. Pourtant, il est déployé dans de nombreux environnements NetWeaver AS Java. Sa position d’intermédiaire entre l’ERP et des systèmes distants en fait un vecteur de mouvement latéral particulièrement intéressant pour un attaquant ayant déjà compromis un premier point d’entrée.
Ce qu’il faut surveiller
SAP recommande l’application immédiate des trois notes de sécurité concernées : #3805589, #3797111 et #3798788. Les équipes de sécurité doivent vérifier si les composants affectés sont actifs dans leur paysage : SAP S/4HANA avec Fiori activé, SAP NetWeaver AS Java avec Visual Composer déployé, et SAP MII quelle que soit la version. Le prochain SAP Patch Day est attendu le 10 novembre 2026. D’ici là, les 4 notes de priorité haute de ce cycle, dont une injection SQL dans SAP Commerce Cloud (CVSS 8,8) et une corruption mémoire dans NetWeaver/Web Dispatcher (CVSS 7,5), méritent également d’être planifiées dans la prochaine fenêtre de maintenance.
Pour approfondir la sécurisation de vos systèmes ERP, consultez notre guide complet cybersécurité ERP 2026. Pour comprendre comment un incident de sécurité peut perturber une chaîne numérique entière, lisez notre analyse de l’incident AIFE sur la facturation électronique en octobre 2026. Si votre organisation est en cours de migration SAP, notre guide de préparation à l’audit de licences SAP donne des repères concrets sur la gestion du risque contractuel en parallèle du risque sécurité.
