CVE-2026-89103 — SAP Gateway : Broken Access Control, actions non autorisées par un attaquant non authentifié
Threat Intel · Alerte de sécurité
L'alerte
CVE-2026-89103 — SAP Gateway
SAP Gateway active la liste de contrôle d'accès (Access Control List) par défaut avec des privilèges élevés, ce qui permet de catégoriser un attaquant externe comme serveur d'application interne. Un attaquant non authentifié disposant d'un accès réseau pourrait effectuer des actions non autorisées dans l'environnement applicatif, avec un impact élevé sur la confidentialité, l'intégrité et la disponibilité. Le CNA liste 12 versions.
- Éditeur
- SAP_SE
- Produit
- SAP Gateway
- Publication
- 10/11/2026
- Gravité CVSS
- Critique
- Priorité
- Critique
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
La faille
Le défaut touche SAP Gateway : la liste de contrôle d'accès (Access Control List) par défaut est activée avec des privilèges élevés, ce qui permet de catégoriser un attaquant externe comme serveur d'application interne.
Le prérequis de l'attaquant est un accès réseau à SAP Gateway : un attaquant non authentifié disposant de cet accès peut exploiter cette faiblesse, sans compte préalable sur le système.
Ce qu'elle permet à un attaquant
- L'attaquant pourrait potentiellement effectuer des actions non autorisées dans l'environnement applicatif, avec un impact élevé sur la confidentialité, l'intégrité et la disponibilité du système affecté.
Qui est concerné
Le CNA liste 12 versions de SAP Gateway (éditeur SAP_SE), dont KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.53, 8.04, KERNEL 7.22, 7.54, 7.77, 7.93, 9.16.
| Produit | Versions |
|---|---|
| SAP_SE SAP Gateway | 12 versions listées par le CNA, dont KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.53, 8.04, KERNEL 7.22, 7.54, 7.77, 7.93, 9.16 … (liste complète dans l’enregistrement CVE) |
Chronologie
- Publication de la vulnérabilité
- Bulletin CERT-FR
Que faire
- Consultez le bulletin de sécurité de l'éditeur, auquel le CERT-FR renvoie pour obtenir les correctifs de cette série de vulnérabilités SAP.
- Consultez les références fournies par l'éditeur SAP pour cette CVE, notamment la note SAP 3798345 et la page du patch day de sécurité SAP.
Termes utiles
- ACL
- Access Control List : liste de règles qui définit quelles entités sont autorisées à accéder à une ressource ou à un service.
- CNA
- CVE Numbering Authority : organisation habilitée à attribuer des identifiants CVE et à publier l'enregistrement correspondant, ici SAP.