SAP corrige trois failles critiques dans NetWeaver, Commerce Cloud et SAP Approuter. Il est essentiel d’appliquer les correctifs rapidement.
SAP NetWeaver, SAP Approuter et SAP Commerce Cloud sont tous trois touchés par des vulnérabilités critiques. Heureusement, SAP déploie des correctifs pour colmater immédiatement ces brèches.
NetWeaver est le plus durement touché. Le serveur d’application NetWeaver contient une faille avec un score CVSS de 9,9. CVE-2026-44747 est un bogue qui permet à un attaquant d’exploiter des problèmes de gestion de la mémoire. Il est ainsi possible de consulter des fichiers confidentiels ou de mettre le système hors ligne. L’attaquant a toutefois besoin de privilèges limités pour mener l’attaque.
La vulnérabilité affectant SAP Approuter est également critique mais présente un score légèrement inférieur (9,1). La faille CVE-2026-27690 permet à un attaquant sans droits d’accès de perturber le système via une requête HTTP.
Connexion
Enfin, il y a la faille dans Commerce Cloud (CVE-2026-44761). Elle est tout aussi grave que la précédente (9,1), mais bien plus problématique. SAP Commerce Cloud peut contenir un client OAuth2 d’exemple avec des identifiants d’exemple documentés publiquement, provenant de configurations types proposées dans la documentation sur le portail d’aide SAP. Si cela n’est pas modifié, un attaquant non authentifié peut utiliser ces identifiants de connexion de notoriété publique pour obtenir un jeton d’accès valide et appeler certaines API afin de lire et de modifier des données.
En d’autres termes : SAP Commerce Cloud contient une configuration par défaut avec un mot de passe standard, permettant aux attaquants de se connecter. Les pirates peuvent alors dérober des données.
Lors de sa journée de mise à jour, SAP corrige plusieurs autres problèmes, mais ceux mentionnés ci-dessus sont les plus urgents. Vous trouverez un aperçu complet ici. Compte tenu de la gravité, il est important d’appliquer les correctifs dès que possible.