S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 15 juillet 2026
N° CERTFR-2026-AVI-0877
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans les produits SAP

Gestion du document

Référence CERTFR-2026-AVI-0877
Titre Multiples vulnérabilités dans les produits SAP
Date de la première version15 juillet 2026
Date de la dernière version15 juillet 2026
Source(s) Bulletin de sécurité SAP july-2026 du 14 juillet 2026

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à la confidentialité des données
  • Contournement de la politique de sécurité
  • Exécution de code arbitraire à distance
  • Injection de code indirecte à distance (XSS)
  • Injection SQL (SQLi)
  • Non spécifié par l'éditeur

Systèmes affectés

  • Change and Transport System Attach Tool (ctsattach) version CTS_UPLOAD_CLT 1 sans le dernier correctif de sécurité
  • Commerce Cloud versions HY_COM 2205, COM_CLOUD 2211 et 2211-JDK21 sans le dernier correctif de sécurité
  • CRM (WebClient UI) versions S4FND 104, 105 et 106 sans le dernier correctif de sécurité
  • Fiori (launchpad) versions SAP_UI 754, 755, 756, 757, 758 et 816 sans le dernier correctif de sécurité
  • HANA Extended Application Services classic model (User Self Service) version HDB 2.00 sans le dernier correctif de sécurité
  • Integration Suite (Edge Integration Cell) version SAP Integration Suite (Edge Integration Cell) < 8.43.11 sans le dernier correctif de sécurité
  • NetWeaver Application Server ABAP (applications based on Business Server Pages) versions SAP_BASIS 700, SAP_BASIS 701, SAP_BASIS 702, SAP_BASIS 731, SAP_BASIS 740, SAP_BASIS 750, SAP_BASIS 751, SAP_BASIS 752, SAP_BASIS 753, SAP_BASIS 754, SAP_BASIS 755, SAP_BASIS 756, SAP_BASIS 757, SAP_BASIS 758, SAP_BASIS 816, SAP_BASIS 918, SAP_BASIS 919 et SAP_BASIS 920 sans le dernier correctif de sécurité
  • NetWeaver Application Server ABAP versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, KERNEL 7.22, 7.53. 7.54, 7.77, 7.89, 7.93, 9.16, 9.18, 9.19 et 9.20 sans le dernier correctif de sécurité
  • NetWeaver Application Server Java (Web Container) version ENGINEAPI 7.50 sans le dernier correctif de sécurité
  • NetWeaver Application Server Java(Configuration Wizard) version LMCTC 7.50 sans le dernier correctif de sécurité
  • NetWeaver AS Java versions SERVERCORE 7.50, CORE-TOOLS 7.50 et J2EE-APPS 7.50 sans le dernier correctif de sécurité
  • NetWeaver Enterprise Portal version EP-RUNTIME 7.50 sans le dernier correctif de sécurité
  • S/4 HANA (Create Single Payment) versions S4CORE 102, 103, 104, 105, 106, 107, 108 et 109 sans le dernier correctif de sécurité
  • S/4HANA (Draft operation) version S4CORE 108 sans le dernier correctif de sécurité
  • S/4HANA Project Management (PPM-PRO) versions SAP_APPL 600, 602, 603, 604, 605, 606, 617, 618, S4CORE 102, 103, 104, 105, 106, 107, 108, CPRXRPM 400, 450_700, 500_702 et 610_740 sans le dernier correctif de sécurité
  • SAProuter on Microsoft Windows versions KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, SAP_ROUTER 7.53, 7.54, KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 9.16, 9.17 et 9.18 sans le dernier correctif de sécurité

Résumé

De multiples vulnérabilités ont été découvertes dans les produits SAP. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données et une injection SQL (SQLi).

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 15 juillet 2026
    Version initiale