S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 09 juin 2026
N° CERTFR-2026-AVI-0715
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits SAP

Gestion du document

Référence CERTFR-2026-AVI-0715
Titre Multiples vulnérabilités dans les produits SAP
Date de la première version09 juin 2026
Date de la dernière version09 juin 2026
Source(s) Bulletin de sécurité SAP june-2026 du 09 juin 2026

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Contournement de la politique de sécurité
  • Injection de code indirecte à distance (XSS)
  • Injection SQL (SQLi)
  • Non spécifié par l'éditeur

Systèmes affectés

  • Business Objects Business Intelligence Platform versions ENTERPRISE 430, 2025 et 2027 sans le dernier correctif de sécurité
  • Business Objects versions ENTERPRISE 430, 2025 et 2027 sans le dernier correctif de sécurité
  • Commerce Cloud and Data Hub versions HY_COM 2205, HY_DHUB 2205, COM_CLOUD 2211, 2211-JDK21 et DHUB_CLOUD 2211 sans le dernier correctif de sécurité
  • Commerce Cloud versions HY_COM 2205, COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  • Fiori (launchpad) versions SAP_UI 754, 755, 756, 757, 758 et 816 sans le dernier correctif de sécurité
  • MDG (Review Match Groups Application) versions S4CORE 108, SAP_BASIS 916, SAP_BASIS 917 et SAP_ABA 816 sans le dernier correctif de sécurité
  • NetWeaver Application Server Java (Web Container) version ENGINEAPI 7.50 sans le dernier correctif de sécurité
  • NetWeaver AS ABAP and ABAP Platform versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 722EXT, 7.53, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 9.16, 9.18 et 91.9 sans le dernier correctif de sécurité
  • NetWeaver AS ABAP and ABAP Platform versions SAP_BASIS 700, SAP_BASIS 701, SAP_BASIS 702, SAP_BASIS 731, SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758 et SAP_BASIS 816 sans le dernier correctif de sécurité
  • NetWeaver AS ABAP and ABAP Platform versions SAP_BASIS 702, SAP_BASIS 731, SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918 et SAP_BASIS 919 sans le dernier correctif de sécurité
  • NetWeaver AS Java (JDBC Test Servlet) version BI_UDI 7.50 sans le dernier correctif de sécurité
  • NetWeaver AS Java versions SERVERCORE 7.50, CORE-TOOLS 7.50 et J2EE-APPS 7.50 sans le dernier correctif de sécurité
  • ODP Data Replication APIs versions DW4CORE 200, 300, 400, PI_BASIS 2006_1_700, 701, 702, 731, 740, SAP_BW 750 et 816 sans le dernier correctif de sécurité
  • S/4HANA versions S4FND 102, 103, 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
  • Wily Introscope Enterprise Manager version WILY_INTRO_ENTERPRISE 10.8 sans le dernier correctif de sécurité

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer une injection SQL (SQLi), une injection de code indirecte à distance (XSS) et un contournement de la politique de sécurité.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 09 juin 2026
    Version initiale