La vulnérabilité SAP OVERPASS est CVE-2026-44756, une faille critique dans le traitement de SAP Extended Passport corrigée par la SAP Security Note 3747649 le 8 septembre 2026. SAP l’a évaluée à CVSS 10.0. Si elle est exploitée, elle peut permettre à un attaquant non authentifié d’atteindre du code au niveau du noyau avant la connexion et, selon Onapsis, d’exécuter des commandes du système d’exploitation dans le contexte du propriétaire de l’installation SAP ou de l’administrateur.
Ce qu’est réellement la vulnérabilité SAP OVERPASS
CVE-2026-44756 est une vulnérabilité de corruption de mémoire dans le code de bibliothèque du SAP Kernel qui traite les données SAP Extended Passport, souvent abrégées en EPP. CERT-EU a décrit la faille le 9 septembre 2026 comme une absence de validation des limites lors de la désérialisation EPP, permettant à un attaquant non authentifié d’envoyer un en-tête EPP malformé.
Onapsis, qui a nommé le problème OVERPASS et a déclaré avoir signalé la faille de manière responsable à SAP, donne la raison pratique pour laquelle les administrateurs devraient s’en préoccuper : le traitement EPP se produit à l’ouverture de session, avant l’authentification. Vos utilisateurs verrouillés, rôles SAP, objets d’autorisation, politique de mot de passe, règles de connexion et contrôles de séparation des tâches se trouvent du mauvais côté de la frontière de confiance.
C’est pourquoi la vulnérabilité SAP OVERPASS n’est pas simplement un autre score CVSS alarmant. Elle vise une infrastructure que de nombreuses équipes SAP considèrent comme de la tuyauterie : Kernel, Internet Communication Manager, Web Dispatcher, SAP Dispatcher et chemins RFC. La tuyauterie tombe en panne différemment. Lorsqu’elle échoue, une grande partie de la logique métier n’a même pas son mot à dire.
Voies d’exposition : ICM, Web Dispatcher, SAP GUI et RFC
SAP Help décrit Internet Communication Manager, ou ICM, comme le composant de serveur d’applications SAP NetWeaver qui reçoit et envoie des requêtes web telles que HTTP et HTTPS. Dans de nombreux environnements, cela fait d’ICM ou de SAP Web Dispatcher le premier composant parlant SAP touché par un navigateur, un proxy inverse, un outil d’intégration ou un hôte d’analyse.
Le 8 septembre 2026, Onapsis a signalé qu’OVERPASS est accessible via SAP Internet Communication Manager et SAP Web Dispatcher sur HTTP(S), via SAP Dispatcher par le protocole SAP GUI, et via RFC. Son point essentiel pour les défenseurs est inconfortable : ces voies convergent vers la même faille partagée dans le code noyau EPP.
Bloquer une porte aide. Cela ne ferme pas le bâtiment. Si votre équipe supprime l’exposition publique HTTP(S) mais laisse les chemins RFC internes largement accessibles depuis les sous-réseaux d’applications, la vulnérabilité SAP OVERPASS mérite toujours un correctif urgent plutôt qu’un ticket marqué « atténué par le réseau ».
Il existe aussi une subtilité d’interface d’administration que les avis génériques omettent souvent. SAP Help documente l’administration par navigateur de SAP Web Dispatcher et d’ICM via /sap/admin, avec le paramètre icm/HTTP/admin_ contrôlant l’exposition par hôte, port et hôte client. Cette interface n’est pas la vulnérabilité, mais après un problème au niveau du noyau, elle fait partie de l’examen de votre rayon d’impact : qui peut atteindre les surfaces de gestion SAP, depuis où, et par quel chemin de dispatcher ?
Versions SAP affectées et données du correctif de septembre 2026
SAP a publié le correctif lors de son Security Patch Day de septembre 2026, qui est tombé le 8 septembre car SAP planifie le Patch Day le deuxième mardi de chaque mois. Le même bulletin comprenait 19 nouvelles Security Notes et une mise à jour d’une note précédemment publiée.
La Security Note 3747649 couvre CVE-2026-44756. Dans le même bulletin de septembre 2026, SAP a également listé CVE-2026-58240 dans SAP NetWeaver Message Server comme critique avec un CVSS de 9.8, corrigée par la Security Note 3759472. CERT-EU a exhorté les organisations à appliquer les deux notes dès que possible.
| Objet | Détail de la source 2026 | Pourquoi c'est important |
|---|---|---|
| CVE-2026-44756 | SAP Security Note 3747649, CVSS 10.0 | Principale vulnérabilité SAP OVERPASS ; corruption de mémoire dans le traitement EPP |
| Lignes de noyau affectées | KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20 | Large empreinte à travers les environnements SAP, y compris les branches de noyau anciennes et récentes |
| Autres packages affectés | KRNL64NUC 7.22, 7.22EXT; KRNL64UC 7.22, 7.22EXT, 7.53, 8.04; WEBDISP 9.16, 9.18, 9.19, 9.20 | Les packages Web Dispatcher et de noyau Unicode/non-Unicode doivent faire l’objet d’un inventaire, pas d’hypothèses |
| CVE-2026-58240 | Note de sécurité SAP 3759472, CVSS 9.8 | Problème critique distinct du Message Server NetWeaver dans le même cycle de correctifs |
| Signal d’exposition publique | Onapsis a signalé plus de 1000 adresses IP publiques uniques présentant une interface web SAP | Sous-estime probablement l’exposition de Web Dispatcher, selon Onapsis |
Selon Onapsis, l’empreinte affectée doit être présumée présente sur les systèmes utilisant SAP Kernel jusqu’à vérification du contraire. Cela signifie que SAP S/4HANA, SAP ERP/ECC, SAP Business Suite, NetWeaver AS ABAP, Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO et Solution Manager doivent faire partie de la première phase d’inventaire.
Pourquoi c’est pire qu’une RCE générique sur serveur
Une faille d’exécution de commandes à distance sur un serveur web ordinaire est grave. Dans SAP, la même catégorie d’impact peut se trouver bien plus près de l’argent, des données réglementées, de la fabrication, des achats, de la paie et de la propagation des identités que ne le réalisent de nombreuses équipes périmétriques.
Onapsis a indiqué qu’une exploitation réussie peut exécuter des commandes du système d’exploitation avec le contexte du propriétaire de l’installation SAP ou d’administration. À partir de là, l’attaquant peut obtenir l’accès au magasin sécurisé SAP, aux identifiants de base de données, aux hachages de mots de passe, aux données de session en direct, aux données applicatives, à la configuration et aux binaires SAP. Il ne s’agit pas simplement d’un accès shell. C’est une voie vers le contrôle des processus métier.
Voici le calcul que j’utiliserais lors d’un point de coordination sur les correctifs : si une entreprise possède 42 instances SAP et que chacune dispose de trois surfaces de protocole accessibles à valider, cela représente 126 contrôles d’exposition avant même de compter les systèmes hors production, les couches Web Dispatcher ou les règles de pare-feu héritées. Une mise à jour du type « nous avons corrigé l’ECC de production » semble rassurante jusqu’à ce que quelqu’un pose des questions sur Solution Manager, BW, les anciens clients de formation et les chemins RFC depuis le middleware d’intégration.
Pour les équipes de détection, l’analogie la plus proche n’est pas une défiguration de site web. Il s’agit d’une compromission de plateforme privilégiée où l’attaquant peut toucher aux identifiants et à l’état de l’application avant que la télémétrie habituelle des autorisations SAP ne donne une image claire. Si votre supervision est fortement centrée sur les comptes, relisez cela deux fois. Notre guide sur Détection des menaces basée sur un système SIEM est pertinent ici, car les éléments de preuve utiles peuvent se trouver dans les journaux SAP, l’EDR, les flux réseau et les enregistrements de processus du système d’exploitation.
Appliquez d’abord le correctif, puis réduisez les chemins accessibles
Seul le correctif du kernel ferme tous les vecteurs confirmés, selon les recommandations d’Onapsis de septembre 2026. Restreindre un protocole réduit l’exposition, mais ne supprime pas le bug du code partagé de traitement EPP.
Donnez la priorité aux systèmes Web Dispatcher et ICM exposés à internet, puis aux systèmes accessibles depuis les réseaux partenaires, les pools VPN, les zones d’intégration, les jump hosts et les postes de travail des administrateurs. Honnêtement, « interne uniquement » est un faible réconfort si votre réseau SAP interne fait encore confiance à de larges plages bureautiques ou à d’anciens serveurs middleware que personne ne veut redémarrer.
Utilisez cet ordre d’opérations pratique :
- Identifiez chaque instance SAP Kernel et Web Dispatcher, y compris les hôtes hors production, de reprise après sinistre, de sandbox et hérités.
- Confirmez si chaque instance correspond à un package affecté ou à une branche de kernel répertoriée dans la SAP Security Note 3747649.
- Appliquez le niveau corrigé du SAP kernel ou de Web Dispatcher via votre processus habituel de maintenance SAP, avec des enregistrements de changement liés au SID et à l’hôte spécifiques.
- Dressez l’inventaire de l’accessibilité HTTP(S), SAP GUI/Dispatcher et RFC vers chaque système après l’application du correctif, pas avant.
- Révision
/sap/admineticm/HTTP/admin_des restrictions afin que les interfaces de gestion soient limitées par hôte, port et source client. - Recherchez les activités suspectes du compte OS SAP : processus enfants inattendus, lectures du secure-store, modifications de binaires, accès aux identifiants, nouveaux utilisateurs SAP privilégiés et activité RFC ou trusted-system inhabituelle.
L’ordonnancement des correctifs devrait aussi inclure le problème distinct du Message Server CVE-2026-58240 si votre environnement est concerné. L’avis de CERT-EU regroupait les Notes 3747649 et 3759472 pour une action immédiate, et ce regroupement a du sens sur le plan opérationnel, car les deux concernent des composants d’infrastructure SAP à haut niveau de confiance.
Les équipes en charge des changements résistent parfois aux interventions d’urgence sur le kernel, car l’indisponibilité SAP a un coût métier. C’est compréhensible. Mais c’est l’un de ces cas où la comparaison des coûts est déséquilibrée : une fenêtre de maintenance planifiée est pénible, tandis qu’une compromission du propriétaire OS SAP peut se transformer en vol d’identifiants, manipulation de transactions et semaines de reconstruction de la confiance.
Vérification post-correctif pour les équipes SAP et sécurité
Après avoir corrigé la vulnérabilité SAP OVERPASS, ne vous arrêtez pas à « version mise à niveau ». Vérifiez le niveau d’exécution exact sur chaque instance de kernel et de Web Dispatcher, car les environnements SAP contiennent souvent des systèmes annexes invisibles pour les responsables métier centraux, mais très visibles pour les attaquants.
Les équipes de sécurité devraient cartographier les frontières de confiance plutôt que de tracer un simple schéma internet-versus-interne. ICM et Web Dispatcher gèrent le trafic HTTP(S). SAP Dispatcher gère le trafic SAP GUI. Les routes RFC relient souvent les traitements batch, les plateformes d’intégration, les outils de supervision et les systèmes de confiance. Une compromission par un chemin peut avoir des conséquences sur un autre.
Pour une discussion architecturale plus large, le principe de la vérification de confiance et la conception Zero Trust s’applique parfaitement à SAP : considérez l’accessibilité des protocoles comme un privilège, et non comme un paramètre réseau par défaut. Il en va de même pour la surveillance comportementale ; les analyses de comptes et d’entités de type UEBA peuvent aider à repérer de nouveaux utilisateurs privilégiés, des horaires d’administration inhabituels ou un comportement RFC anormal après une période d’exposition suspectée.
Regardez en arrière autant qu’en avant. Onapsis a indiqué n’avoir observé aucune exploitation active dans la nature à la date de sa publication du 8 septembre 2026, mais l’absence d’exploitation connue ne prouve pas que votre environnement n’a pas été touché. Examinez les journaux EDR et système afin de détecter toute exécution inhabituelle de processus de comptes OS SAP, tout accès au magasin d’identifiants, toute modification des binaires SAP et toute nouvelle connexion sortante depuis des hôtes SAP.
Une réflexion axée sur la chaîne d’approvisionnement logicielle importe également. Si des attaquants peuvent modifier les binaires ou la configuration SAP, vous avez besoin de contrôles d’intégrité et de chemins de mise à jour fiables ; la logique du risque ressemble aux cas où la confiance dans l’infrastructure est détournée, comme dans le détournement BGP contre les mises à jour logicielles. Technique différente, même leçon inconfortable : la livraison de confiance et l’exécution de confiance sont toutes deux des dépendances de sécurité.
FAQ : vulnérabilité SAP OVERPASS
Qu’est-ce que la vulnérabilité SAP OVERPASS ?
La vulnérabilité SAP OVERPASS est CVE-2026-44756, une faille de corruption de mémoire CVSS 10.0 dans le traitement de SAP Extended Passport. SAP l’a corrigée avec la Security Note 3747649 le 8 septembre 2026.
Peut-on exploiter CVE-2026-44756 sans identifiants de connexion SAP ?
Oui, selon les descriptions de CERT-EU et d’Onapsis, les données EPP malformées peuvent être envoyées avant l’authentification. Onapsis a indiqué que les rôles SAP, les utilisateurs verrouillés, la politique de mot de passe et les objets d’autorisation ne bloquent pas cette voie d’exploitation.
Quels systèmes SAP les administrateurs doivent-ils vérifier en premier ?
Commencez par les systèmes SAP Web Dispatcher et ICM exposés à Internet, puis les systèmes SAP GUI/Dispatcher et ceux accessibles via RFC. Incluez S/4HANA, ECC, BW/4HANA, PI/PO, Enterprise Portal, Solution Manager, les instances hors production et de reprise après sinistre jusqu’à vérification.
Le blocage de l’accès HTTP résout-il OVERPASS ?
Non. Restreindre HTTP(S) peut réduire l’exposition, mais Onapsis a signalé que les chemins SAP GUI et RFC peuvent également atteindre la même faille partagée du noyau EPP. Le correctif du noyau est la solution confirmée sur tous les vecteurs.
Que doivent vérifier les équipes après avoir appliqué la note de sécurité SAP 3747649 ?
Confirmez que chaque noyau affecté et chaque instance de Web Dispatcher sont à un niveau corrigé, vérifiez l’exposition du protocole, restreignez /sap/admin l’accès, et recherchez toute exécution inhabituelle de comptes OS SAP, tout accès aux identifiants, toute modification des binaires, tout nouvel utilisateur privilégié et toute activité RFC inattendue.
FR 
EN 
ES