SAP : le CERT-FR documente 42 vulnérabilités dans un avis d'une ampleur inédite en 2026

Le CERT-FR publie ce 11 août 2026 l'avis CERTFR-2026-AVI-0998, qui documente 42 vulnérabilités dans les produits SAP — de loin le lot le plus large depuis le début de l'année. Exécution de code à distance, élévation de privilèges, injection SQL et atteinte à la confidentialité des données figurent parmi les risques recensés. Pour les DPO et RSSI d'organisations équipées en SAP, c'est le troisième avis du genre en 2026, et il touche cette fois le cœur du système : ERP, RH, finance et données clients.

Ce qui s'est passé

Le bulletin de sécurité mensuel de SAP d'août 2026 corrige 42 vulnérabilités réparties sur un périmètre inhabituellement large : ABAP Platform et NetWeaver, BusinessObjects Business Intelligence Platform, Commerce Cloud, S/4HANA (module de rapprochement bancaire), SAPUI5, Manufacturing Integration and Intelligence ou encore le service SAPSprint. Le CERT-FR classe les risques en sept catégories : exécution de code arbitraire à distance, élévation de privilèges, injection SQL, injection de code indirecte (XSS), contournement de la politique de sécurité, atteinte à la confidentialité des données, et risques non spécifiés par l'éditeur.

Aucune exploitation active n'est signalée à ce stade, mais l'ampleur du périmètre — près de trente familles de produits et versions concernées — signifie que la quasi-totalité des environnements SAP en production sont susceptibles d'être exposés sur au moins un composant.

Pourquoi c'est important

SAP n'est pas un logiciel parmi d'autres : c'est le référentiel central de la donnée personnelle en entreprise — paie, dossiers RH, comptabilité, gestion commerciale, données clients dans Commerce Cloud. Une vulnérabilité exploitée sur ces briques engage directement l'article 32 du RGPD, qui impose des mesures techniques et organisationnelles « à l'état de l'art » pour garantir la sécurité du traitement. Un correctif disponible et non appliqué complique sérieusement la démonstration de conformité en cas de contrôle.

C'est également le troisième avis CERT-FR sur SAP en 2026, après ceux de juin (AVI-0715) et une précédente alerte documentant déjà 15 failles sur NetWeaver et BusinessObjects. La récurrence n'est pas un hasard : elle reflète la surface d'attaque considérable d'un ERP qui interconnecte des dizaines de modules, souvent maintenus par des équipes IT différentes et parfois par des prestataires externes — ce qui renvoie directement aux obligations de l'article 28 RGPD encadrant la sous-traitance et son suivi contractuel.

Pour les entités soumises à la directive NIS 2, l'enjeu se double d'une obligation de gestion documentée des vulnérabilités et, en cas d'incident avéré, d'une notification à l'ANSSI dans des délais contraints.

Ce que ça change pour les organisations

Trois actions s'imposent pour les DPO et RSSI concernés :

1. Inventorier précisément les modules SAP déployés et leurs versions, en confrontant cet inventaire à la liste des systèmes affectés publiée par le CERT-FR — le périmètre touche autant l'infrastructure technique (NetWeaver, ABAP) que les couches métier (Commerce Cloud, S/4HANA).
2. Prioriser les correctifs sur les composants exposés à Internet ou accessibles par des tiers, en particulier BusinessObjects et Commerce Cloud, avant les modules strictement internes.
3. Documenter chaque décision de patch ou de report — un report motivé et tracé reste défendable au titre de l'article 32 ; une absence de traçabilité ne l'est pas. Si une exploitation est confirmée sur des données personnelles, le compte à rebours de l'article 33 (notification CNIL sous 72 heures) démarre dès la connaissance de l'incident, pas dès sa confirmation complète.

Les organisations infogérant leur SAP par un prestataire doivent par ailleurs vérifier, sans attendre le prochain audit, que la clause de notification rapide de leur contrat de sous-traitance a bien été activée.

Ce que Leto pense de cette décision

Un avis CERT-FR de plus sur SAP ne devrait plus surprendre personne, mais 42 CVE en un seul bulletin est un signal qu'il ne faut pas banaliser par lassitude. Le vrai risque n'est pas l'avis lui-même, c'est le troisième avis de l'année qui rejoint une pile de patchs jamais totalement soldée. Si votre organisation n'a pas encore de processus formel de suivi des avis CERT-FR sur ses briques critiques, ce bulletin d'août est l'occasion de le mettre en place plutôt que de traiter chaque alerte comme un cas isolé.

Sources : CERT-FR, avis CERTFR-2026-AVI-0998, Bulletin de sécurité SAP, août 2026