En Bref

• Trois failles critiques de NetWeaver ont obtenu un score de 9,1 à 10 sur l’échelle de risque CVSS.
• Les attaquants pouvaient exécuter n’importe quel code, télécharger des fichiers ou accéder à des données sensibles.
• Un bug (CVE-2025-42944) permet la prise de contrôle à distance et sans authentification des serveurs SAP.
• Des correctifs ont été publiés après que des tentatives d’exploitation initiales ont été signalées dans la nature.
• SAP recommande une mise à jour immédiate ; aucune preuve d’attaques malveillantes à grande échelle pour l’instant.

Une tempête gronde au cœur de l’informatique d’entreprise

Imaginez les salles des machines numériques des plus grandes organisations mondiales - banques, industriels, gouvernements - toutes fonctionnant grâce aux logiciels SAP. Ce mois-ci, la foudre a frappé ces salles des machines : la plateforme NetWeaver de SAP s’est révélée truffée de vulnérabilités si graves que les experts en sécurité l’ont qualifiée d’« urgence 10 sur 10 ».

Le 10 septembre, SAP a déployé en urgence des correctifs de sécurité pour plusieurs failles dans NetWeaver et S/4HANA. La plus alarmante - CVE-2025-42944 - a obtenu le score maximal de 10 sur l’échelle de menace CVSS. Ce n’est pas qu’un chiffre : cela signifie que des pirates pouvaient, sans même se connecter, envoyer un message spécialement conçu à un serveur mal configuré et en prendre le contrôle total, exécutant n’importe quelle commande comme s’ils étaient propriétaires du système.

Ce qui est en jeu : quand le cerveau de l’entreprise est exposé

NetWeaver est la colonne vertébrale des logiciels d’entreprise SAP, utilisés par plus de 400 000 organisations dans le monde. Une brèche ici, c’est comme si quelqu’un s’introduisait dans la salle de contrôle d’une entreprise. Si la faille n’est pas corrigée, les attaquants pourraient télécharger des fichiers malveillants, lire ou supprimer des informations sensibles, voire effacer des tables de bases de données critiques - pouvant ainsi stopper les opérations ou divulguer des secrets.

Les vulnérabilités touchent plusieurs composants. Une faille permet à un pirate de télécharger des fichiers arbitraires (CVE-2025-42922), une autre autorise des utilisateurs privilégiés à supprimer n’importe quelle table de base de données (CVE-2025-42916), et une troisième expose les utilisateurs IBM i-series à des accès non autorisés (CVE-2025-42958). La société de sécurité Onapsis avertit qu’avec le bon exploit, un criminel pourrait compromettre une application SAP entière en quelques minutes.

Déjà-vu : échos des attaques SAP passées

Ce n’est pas la première alerte de grande ampleur pour SAP. En 2020, la vulnérabilité RECON a exposé des milliers de systèmes SAP à des attaques à distance, entraînant une campagne mondiale de correctifs en urgence. Comme pour RECON, les nouvelles failles ont été signalées par des chercheurs (Pathlock, SecurityBridge) avant que SAP ne puisse réagir - soulignant le jeu du chat et de la souris entre défenseurs et cybercriminels.

Bien que SAP n’ait pour l’instant constaté aucune exploitation massive, le timing est serré. Les chercheurs ont révélé des tentatives actives de sondage des vulnérabilités quelques jours seulement avant la publication des correctifs - soulignant la rapidité avec laquelle les cybercriminels agissent lorsque l’or numérique des entreprises est en jeu.

Pourquoi c’est important : la géopolitique du risque cyber

Les systèmes SAP soutenant aussi bien l’industrie que les gouvernements, une faille critique n’est pas qu’un problème informatique - c’est un risque géopolitique. Les perturbations pourraient se répercuter sur les chaînes d’approvisionnement, la finance et la sécurité nationale. À mesure que l’infrastructure numérique devient un champ de bataille, la pression s’accentue pour des correctifs rapides et une communication transparente.

WIKICROOK

• CVSS : Le CVSS (Common Vulnerability Scoring System) est une méthode standardisée pour évaluer la gravité des failles de sécurité, avec des scores de 0,0 à 10,0.
• Désérialisation : La désérialisation convertit des données en objets utilisables par un programme. Si elle n’est pas sécurisée, elle peut permettre à des attaquants d’injecter des instructions malveillantes dans les applications.
• NetWeaver : NetWeaver est la plateforme centrale de SAP qui connecte, gère et intègre les applications d’entreprise, permettant le partage de données et l’automatisation des processus à l’échelle mondiale.
• Correctif : Un correctif est une mise à jour logicielle publiée pour corriger des vulnérabilités de sécurité ou des bugs dans les programmes, aidant à protéger les appareils contre les menaces et à améliorer la stabilité.
• Escalade de privilèges : L’escalade de privilèges se produit lorsqu’un attaquant obtient des droits d’accès plus élevés, passant d’un compte utilisateur standard à des privilèges administrateur sur un système ou un réseau.