SAP : une faille notée 10/10 dans le Cloud SDK pour Python parmi les correctifs d'octobre

SAP a publié le 13 octobre 2026 ses correctifs de sécurité mensuels. La page de l'éditeur liste 22 vulnérabilités, dont 20 nouvelles et 2 mises à jour de notes antérieures. La plus grave, CVE-2026-89111, obtient la note maximale de 10 sur 10. Elle touche le SAP Cloud SDK pour Python, la boîte à outils qui sert à créer des applications et des agents d'IA en Python sur SAP Business Technology Platform (BTP). Aucune exploitation n'est signalée à ce stade.

Des secrets OAuth2 détournés

Il s'agit d'une falsification de requête côté serveur (SSRF) qui concerne les applications BTP multi-clients. Selon BleepingComputer, un attaquant qui contrôle le paramètre tenant_subdomain pourrait rediriger les demandes de jeton OAuth2 vers un serveur qu'il contrôle, et y récupérer les identifiants de l'application cliente. L'attaque se fait à distance, sans aucun privilège. Le tableau de SAP indique que les versions antérieures à la 0.45.2 sont concernées.

Trois autres failles critiques

• CVE-2026-89110 (9,9) : un défaut de contrôle d'accès dans SAP NetWeaver Visual Composer (VC70RUNTIME 7.50). Un attaquant disposant de droits limités pourrait compromettre entièrement le système.
• CVE-2026-89107 (9,9) : une injection de code dans SAP S/4HANA (gestion des règles de substitution et de validation).
• CVE-2026-89108 (9,1) : un contrôle d'autorisation manquant dans SAP Manufacturing Integration and Intelligence. Un administrateur pourrait se créer un compte aux droits étendus sur l'application Java sous-jacente.

Parmi les failles de gravité élevée figurent aussi une injection SQL dans SAP Commerce Cloud (CVE-2026-89113, 8,8) et une corruption de mémoire dans le gestionnaire ICM de NetWeaver et du Web Dispatcher (CVE-2026-58249, 7,5).

Pourquoi ne pas traîner

Les failles SAP intéressent les attaquants. La CISA compte 14 failles SAP dans son catalogue des vulnérabilités exploitées depuis novembre 2021, dont trois utilisées par des rançongiciels. En août, une faille critique de SAP Commerce Cloud a été exploitée quelques jours après la sortie du correctif, selon Defused.

Que faire ?

• Recenser les applications Python construites sur BTP avec le Cloud SDK, et passer à la version 0.45.2 ou ultérieure.
• En attendant, comparer tenant_subdomain à une liste des sous-domaines clients enregistrés avant de le transmettre au SDK.
• Si une application exposée a pu être visée, renouveler ses secrets OAuth2.
• Appliquer en priorité les notes 3797111, 3805589, 3798788 et 3800517, puis les notes de gravité élevée.