Alerte de sécurité SAP Juillet 2026: défaillances critiques dans ABAP, Aprouter et OAuth qui peuvent exposer des données et affecter les opérations

SAP a publié ses correctifs de sécurité de juillet 2026 corrigeant plusieurs défaillances critiques affectant des environnements commerciaux largement utilisés, y compris une vulnérabilité de Rédaction illimitée dans SAP NetWeaver Application Server ABAP (CVE-2026-44747) qui reçoit un score CVSS presque maximum et qui, dans les scénarios où un attaquant est authentifié, peut causer la corruption de la mémoire avec impact sur la confidentialité, l'intégrité et la disponibilité. Bien qu'il n'y ait pas de preuves publiques d'exploitation massive à l'heure actuelle, la gravité technique et la portée potentielle - systèmes de PGI, processus financiers et données sensibles - font de la réponse une priorité. Plus d'informations générales sur les avis de sécurité SAP sont disponibles sur la page SAP officielle: SAP Sécurité des produits.

En plus de l'échec de l'ABAP, les bulletins comprennent : Demande HTTP / contrebande de réponse dans les déploiements SAP Approuter à l'extérieur de Cloud Foundry (CVE-2026-27690) qui permet à un attaquant non authentifié de déconchroniser les requêtes et les réponses à l'exfiltration d'informations ou de causer des dénis de service, et Configuration par défaut OAuth 2.0 dans SAP Commerce Cloud (CVE-2026-44761) où les clients avec des références publiques peuvent rester en production et être réutilisés par les attaquants pour obtenir des jetons valides. Les avis et l'information du public sur les vulnérabilités peuvent être comparés à des bases de données comme NVD : NVD - Base de données nationale sur la vulnérabilité.

D'un point de vue opérationnel, la première règle est de prioriser l'application des correctifs : installer les versions du noyau ABAP et les correctifs officiels pour Aprouter et Commerce Cloud dans les environnements de test dès que possible, suivis par des environnements productifs dans une fenêtre de maintenance contrôlée. SAP et signatures de sécurité comme Onapsis ont signalé que, comme mesure temporaire, certains nœuds ICF peuvent être désactivés par la transaction SICF, mais cette solution implique la perte de la fonctionnalité SAP GUI pour HTML et n'est donc pas viable pour de nombreuses organisations; il doit être réservé comme mesure d'urgence et évalué en même temps que les secteurs d'activité pour l'impact fonctionnel.

En cas d'échec lié à OAuth dans Commerce Cloud, l'assainissement immédiat et non négociable consiste à vérifier la présence de clients OAuth créés à partir de scripts d'exemple. Si un client ayant des pouvoirs publics est détecté, le client doit être retiré ou son secret doit être tourné immédiatement par un fort et unique. Veuillez également vérifier que les processus internes de documentation et de déploiement n'importent plus de configurations d'exemples de production et n'implémentent pas de politiques qui bloquent les secrets codés en dur dans les dépôts de déploiement ou les scripts.

Pour atténuer les risques associés à la contrebande HTTP et aux vecteurs de déni de service, appliquer les correctifs officiels, mais aussi envisager des mesures complémentaires: permettre des contrôles sur le proxy inversé ou WAF qui détectent et bloquent les schémas de déssynchronisation, ajuster les délais et les limites d'en-tête, et revoir les règles de sécurité dans le nageur. Dans les environnements où il n'est pas possible de se garer immédiatement, réduire l'exposition des composants sensibles aux réseaux publics et limiter l'accès IP ou VPN aux couches administratives et aux itinéraires critiques.

Ne sous-estimez pas le besoin de visibilité et de détection : examinez les journaux d'accès et de serveur pour les modèles inhabituels, créez des alertes SIEM pour les tentatives d'utilisation des identifiants connus, et surveillez les appels OAuth et API avec des privilèges élevés. Intégrez la vérification de ces CVE dans votre cycle de gestion de la vulnérabilité et dans la configuration des scans automatisés pour éviter les régressions dans les déploiements futurs.

Enfin, tenir compte de l'impact réglementaire et commercial: l'exploitation de ces vulnérabilités pourrait impliquer la fuite de données personnelles ou la manipulation de transactions, ce qui nécessite l'activation de plans d'intervention en cas d'incident, la notification aux parties prenantes et, le cas échéant, aux autorités réglementaires. Maintenir la communication avec les fournisseurs et les partenaires, documenter les mesures prises et planifier un examen post-patch pour valider la stabilité et la couverture des contrôles. Pour des analyses et des conseils spécialisés sur SAP, il est recommandé de consulter les fournisseurs de sécurité ayant une expérience en ERP, comme Onapsis : Onapsis.