SAP corrige une faille notée 10/10 dans son SDK Python, qui permet de détourner l’authentification

SAP a publié le mardi 13 octobre des correctifs pour quatre vulnérabilités critiques touchant ses logiciels professionnels, dont une faille notée au maximum de l’échelle de gravité.

Selon Clubic, qui détaille le bulletin de sécurité d’octobre de l’éditeur allemand, deux de ces quatre failles pourraient mener à une prise de contrôle totale des systèmes visés. SAP n’a signalé, pour l’instant, aucune exploitation active de ces défauts, et les correctifs sont disponibles. Pour les équipes qui développent des applications reliées à l’écosystème SAP, la plus sévère mérite pourtant une attention particulière, car elle ne demande presque rien à l’attaquant.

Comment le SDK Python laisse fuiter les identifiants

La vulnérabilité référencée CVE-2026-89111 se loge dans SAP Cloud SDK for Python, une bibliothèque dont se servent les développeurs pour brancher leurs programmes sur les services cloud de SAP. Elle frappe d’abord les applications multi-clients, c’est-à-dire celles qui servent plusieurs clients depuis une infrastructure commune.

Le mécanisme tient à un contrôle défaillant. Pour déterminer à quelle adresse joindre le serveur d’authentification, le SDK s’appuie sur un paramètre qu’il ne valide pas correctement. Un attaquant capable de modifier cette valeur peut donc détourner la demande d’authentification vers une machine qu’il contrôle. L’application lui remet alors, sans le savoir, ses propres identifiants.

Ce qui place la faille au sommet de l’échelle, c’est son exploitation à distance : nul besoin de disposer d’un compte au préalable, ni qu’un utilisateur intervienne. Il suffit à l’attaquant de maîtriser le paramètre en cause.

Ce qu’un pirate peut faire avec ces identifiants

Une fois en possession des identifiants, l’intrus peut se faire passer pour l’application et atteindre toutes les ressources auxquelles celle-ci a droit. La portée dépend donc des permissions accordées au programme compromis. Dans les cas les plus larges, il pourrait consulter, voire modifier, des données financières, des informations concernant les salariés ou d’autres données professionnelles sensibles. Le périmètre des droits attribués à chaque application conditionne ainsi directement l’ampleur des dégâts potentiels.

Trois autres failles critiques dans le bulletin

Le reste du bulletin concerne des produits très différents, avec des profils d’attaquant qui ne se ressemblent pas. Deux de ces trois failles sont évaluées à 9,9/10 et la troisième, CVE-2026-89108, à 9,1/10.

À la différence de la faille du SDK, ces trois vulnérabilités supposent que l’attaquant dispose déjà d’un accès, même restreint, au produit concerné.

Mettre à jour le SDK et les produits touchés

Pour une application Python bâtie sur la bibliothèque de SAP, la correction passe donc par la montée de version de cette dépendance. Côté NetWeaver Visual Composer, S/4HANA et Manufacturing Integration and Intelligence, les correctifs du bulletin d’octobre sont eux aussi disponibles, et leur installation est la réponse logique pour les équipes concernées.

Photo à la une. Source : Pexels. Photographe : ThisIsEngineering. Licence Pexels.