7 min. de lecture<\/p>\n
SAP a ferm\u00e9 une faille de SQL injection dans Business Planning and Consolidation et Business Warehouse avec CVSS 9.9 en avril 2026. La CVE-2026-27681<\/a> permet \u00e0 un utilisateur authentifi\u00e9 avec des privil\u00e8ges minimaux d’ex\u00e9cuter des instructions SQL arbitraires sur la base de donn\u00e9es. Les entreprises qui ont report\u00e9 la mise \u00e0 jour du mois d’avril en raison du calendrier des vacances et de la fin de trimestre sont toujours vuln\u00e9rables depuis trois semaines. La note SAP 3719353 est disponible depuis le 14 avril 2026, le patch est test\u00e9 et l’effort est limit\u00e9. La gravit\u00e9 de la retardation se fait sentir uniquement lorsque l’audit de la bilan de la deuxi\u00e8me moiti\u00e9 de l’ann\u00e9e commence.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n Liens<\/span>Risikoprofil 2026: Prudence sera la strat\u00e9gie la plus ch\u00e8re<\/a> \/<\/span> E-Rechnungspflicht: Unternehmen unter Druck<\/a><\/p>\n Dans la plupart des organisations de taille interm\u00e9diaire, un avertissement de s\u00e9curit\u00e9 SAP sortant du jour du patch est automatiquement d\u00e9plac\u00e9 dans la bo\u00eete de s\u00e9curit\u00e9 IT. Il est tri\u00e9 par CVSS, class\u00e9 et attribu\u00e9 \u00e0 un slot de sprint suivant. Pour CVE-2026-27681<\/a>, ce r\u00e9flexe ne fonctionne pas. La faille ne se trouve pas au p\u00e9rim\u00e8tre r\u00e9seau, mais dans un programme ABAP ex\u00e9cut\u00e9 lors du pr\u00e9visionnement de l’entreprise et du bilan de fin de trimestre. Elle n’est pas un sujet de s\u00e9curit\u00e9, mais un sujet de rapport financier avec un label de s\u00e9curit\u00e9.<\/p>\n La description SAP<\/a> est particuli\u00e8rement claire. Un utilisateur avec des privil\u00e8ges standard qui peut charger des donn\u00e9es dans un programme ABAP peut injecter des instructions SQL. Cela ne se fait pas via un serveur d’exploitation n’importe o\u00f9, mais via le m\u00eame champ d’entr\u00e9e o\u00f9 les donn\u00e9es de fin de trimestre sont charg\u00e9es. Celui qui prend un risque d’insider \u00e0 s\u00e9rieux a ici un cas classique.<\/p>\n C’est \u00e9galement la raison pour laquelle l’\u00e9valuation des risques est diff\u00e9rente de celle d’une CVE standard. Lors d’une RCE FortiSandbox, le CISO d\u00e9bate s’il est dans le p\u00e9rim\u00e8tre r\u00e9seau. Lors d’une injection SQL dans BPC, le directeur g\u00e9n\u00e9ral d\u00e9bate s’il est en train de pr\u00e9parer les chiffres de la deuxi\u00e8me moiti\u00e9 de l’ann\u00e9e pour la banque. La r\u00e9ponse est g\u00e9n\u00e9ralement oui.<\/p>\n La note SAP 3719353 liste une base de versions inhabituellement large. Affect\u00e9es sont les versions BW 750, 752, 753, 754, 755, 756, 757, 758, 816 ainsi que HANABPC 810 et BPC4HANA 300. Celui qui compare cette liste avec la r\u00e9alit\u00e9 du monde des entreprises allemandes trouvera probablement des \u00e9l\u00e9ments familiaux. BW 7.50, qui est stable depuis 2016 dans de nombreux environnements, a \u00e9t\u00e9 maintenu dans le cadre des extensions de maintenance. BPC4HANA 300 est la variante int\u00e9gr\u00e9e actuelle qui accompagne S\/4HANA.<\/p>\n Dans la pratique, je vois trois configurations typiques. La premi\u00e8re est le classique cas de l’entreprise de taille interm\u00e9diaire avec BW comme backend de rapport pour les rapports bancaires. Plus qu’une simple question de logiciel, le chemin des audits de l’exercice pr\u00e9c\u00e9dent p\u00e9n\u00e8tre dans le m\u00eame syst\u00e8me. Une injection SQL dans cette couche n’est pas seulement un fuite de donn\u00e9es, c’est un risque d’audit, car l’int\u00e9grit\u00e9 des rapports historiques devient complexe \u00e0 d\u00e9montrer.<\/p>\n La deuxi\u00e8me configuration est l’entreprise familiale avec BPC pour la consolidation. BPC est souvent le seul outil que la direction conna\u00eet vraiment, car il produit les pr\u00e9visions et les comparaisons plan-versus-actuel. Une attaque sur cette couche frappe directement la capacit\u00e9 de contr\u00f4le de la direction.<\/p>\n La troisi\u00e8me configuration est la migration vers S\/4HANA pr\u00e9vue pour 2026. Celui qui souhaite effectuer un cutover au cours de l’\u00e9t\u00e9 a d\u00e9j\u00e0 install\u00e9 BPC4HANA 300 et est dans la phase de test. C’est exactement l\u00e0 que la faille se trouve. Ne pas installer le correctif avant le cutover est une question de commodit\u00e9 qui co\u00fbte plus tard, car une mise \u00e0 jour dans un environnement de production avec des processus de consolidation en direct est beaucoup plus co\u00fbteuse.<\/p>\n Qu’est-ce qui brise<\/p>\n Qu’est-ce qui aide<\/p>\n L’asym\u00e9trie est \u00e9vidente. Ce qui brise, c’est la discipline et la communication au sein du sprint. Ce qui aide, c’est la substance m\u00eame de la note. Celui qui ne met pas en \u0153uvre le correctif ne dispose pas d’un motif technique, mais d’un obstacle organisationnel.<\/p>\n Le plan est concis mais r\u00e9aliste. La plupart des entreprises DACH de taille interm\u00e9diaire ont un intervalle de maintenance SAP de deux semaines, bien que rarement suivi de mani\u00e8re coh\u00e9rente. La note 3719353 est l’occasion de r\u00e9int\u00e9grer l’intervalle en tant que routine, plut\u00f4t qu’un intervention sp\u00e9ciale.<\/p>\n L’\u00e9valuation unilat\u00e9rale de la situation \u00e0 la direction est le point o\u00f9 la plupart des sprints de patch \u00e9chouent, bien avant que le team SAP-Basis ne soit m\u00eame pas impliqu\u00e9. Celui qui envoie une table CVSS g\u00e9n\u00e9rique et une communication SAP g\u00e9n\u00e9rale recevra ce qu’il m\u00e9rite : un simple pointage sous \u00ab \u00e0 l’attention \u00bb. Celui qui r\u00e9dige une page avec trois points obtient un intervalle de maintenance approuv\u00e9.<\/p>\n Les trois points ne sont pas compliqu\u00e9s. Premi\u00e8rement : un utilisateur authentifi\u00e9 peut modifier nos chiffres de consolidation Q2 avant qu’ils ne parviennent dans le rapport au conseil d’administration. Deuxi\u00e8mement : le patch est disponible, test\u00e9 et recommand\u00e9 par SAP depuis trois semaines. Troisi\u00e8mement : l’intervalle de maintenance suivant est le jour X, ou alternativement, nous proposons un intervalle hors-bande le jour Y. Cette forme respecte le temps de la direction et fournit une d\u00e9cision, plut\u00f4t qu’un \u00e9tat d’avancement.<\/p>\n Qui a appris dans le pass\u00e9 que la direction bloque sur les sujets IT, devrait v\u00e9rifier : est-ce que cela bloque vraiment le contenu, ou bien la forme ? Dans la plupart des cas, c’est la forme. Une note 3719353 avec une r\u00e9f\u00e9rence claire au trimestre Q2 n’est pas de la bureaucratie IT, mais une question de bilan. Elle devrait \u00eatre pr\u00e9sent\u00e9e de la m\u00eame fa\u00e7on.<\/p>\n Le patch est obligatoire, l’inventaire est la seconde \u00e9tape. Celui qui consulte dans le Solution-Manager les programmes ABAP sp\u00e9cifiques aux clients qui utilisent le pattern d’upload vuln\u00e9rable trouve g\u00e9n\u00e9ralement plus de programmes que ceux de SAP standard. Ces programmes sp\u00e9cifiques aux clients ne sont pas patch\u00e9s par la note 3719353 car cette note ne vise que le standard SAP. Une r\u00e9vision de code personnalis\u00e9e est n\u00e9cessaire, id\u00e9alement en collaboration avec l’\u00e9quipe d’ABAP d\u00e9veloppement.<\/p>\n La deuxi\u00e8me t\u00e2che d’inventaire est l’inventaire des autorisations. Le CVE-2026-27681 peut \u00eatre exploit\u00e9 avec un niveau de privil\u00e8ge faible. Celui qui consulte dans le concept d’autorisation le nombre d’utilisateurs qui ont l’objet d’autorisation n\u00e9cessaire voit souvent un chiffre dans le domaine des centaines, qui a pu cro\u00eetre historiquement. Une r\u00e9duction rapide sur le set v\u00e9ritablement n\u00e9cessaire n’est pas un remplacement du patch, mais elle r\u00e9duit la surface d’attaque des insiders, si la note ne peut \u00eatre mise en production qu’au cours de deux semaines.<\/p>\n La troisi\u00e8me t\u00e2che d’inventaire est le journalisation. Les logs d’audit SAP et de lecture montrent qui a effectu\u00e9 des uploads ABAP entre le 14 avril 2026 et la date du patch. Cette liste doit \u00eatre conserv\u00e9e, non par m\u00e9fiance, mais pour prudence audit. Si un auditur en douze mois demande si quelqu’un a utilis\u00e9 le pattern entre la date de publication et la date du patch, la r\u00e9ponse \u00abnous avons la liste\u00bb est plus agr\u00e9able \u00e0 entendre que \u00abnous ne savons rien\u00bb.<\/p>\n SAP a indiqu\u00e9 dans sa communication de la journ\u00e9e de correctifs le 14.04.2026 que les vuln\u00e9rabilit\u00e9s corrig\u00e9es ne sont pas actuellement utilis\u00e9es en dehors de la porte. Cela ne change pas la n\u00e9cessit\u00e9 de la mise \u00e0 jour, car le vecteur d’attaque est public et les risques d’intrusion interne ne d\u00e9pendent pas des observations externes.<\/p>\n<\/details>\n Non. La Note traite un programme ABAP commun. M\u00eame les installations BPC uniquement, sans couche de reporting BW classique, doivent appliquer la Note, car le programme vuln\u00e9rable est partie de l’ensemble des deux stacks. La Note SAP mentionne explicitement BPC4HANA 300 et HANABPC 810.<\/p>\n<\/details>\n BW 7.40 est sorti de la maintenance en 2020. Si la version est encore en production, la faille est probablement pr\u00e9sente, mais pas de correctif disponible. SAP recommande dans ce cas une mise \u00e0 jour vers une version soutenable. En attendant, l’inventaire des autorisations et le journal des t\u00e9l\u00e9chargements ABAP peuvent aider \u00e0 r\u00e9duire l’attaque potentielle.<\/p>\n<\/details>\n Non, au contraire. Si BPC4HANA 300 est transf\u00e9r\u00e9 en production S\/4HANA sans la Note 3719353, la faille dispara\u00eet lors du passage au nouveau syst\u00e8me. La bonne pratique est d’appliquer la Note dans le syst\u00e8me de qualit\u00e9 de migration et de la transf\u00e9rer avec le passage. Le groupe de migration devrait inclure explicitement la Note 3719353 dans sa liste de contr\u00f4le de transition.<\/p>\n<\/details>\n G\u00e9n\u00e9ralement pas pour la Note elle-m\u00eame. Elle est standard et test\u00e9e, et votre propre \u00e9quipe SAP-Basis peut g\u00e9rer la fen\u00eatre de correctifs. Une consultation externe est utile si vous abordez l’inventaire des autorisations ou la revue de code des programmes ABAP sp\u00e9cifiques au client, car ces sujets n\u00e9cessitent des ressources qui sont rarement disponibles dans un environnement de production quotidien.<\/p>\n<\/details>\n Source image de couverture: Pexels \/ MART PRODUCTION (px:8872665)<\/em><\/p>\n Les conseils de lecture de la r\u00e9daction<\/p>\n La note SAP\u202f3719353 corrige une faille SQL dans BPC et BW avec un CVSS de\u202f9,9. Celui qui a report\u00e9 le correctif d\u2019avril risque le bilan trimestriel.<\/p>\n","protected":false},"author":195,"featured_media":99373,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_yoast_wpseo_focuskw":"SAP-BPC bilan trimestriel SQL","_yoast_wpseo_title":"SAP-BPC\u202f: la porte d\u00e9rob\u00e9e SQL du bilan trimestriel","_yoast_wpseo_metadesc":"La note SAP 3719353 corrige une faille SQL dans BPC et BW avec un CVSS de 9,9. Reporter le patch d'avril risque d'impacter les bilans trimestriels.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"https:\/\/mybusinessfuture.com\/wp-content\/uploads\/2026\/05\/sap-bpc-bw-cve-2026-27681-sql-injection-mittelstand-patch-cover-hero.jpg","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"https:\/\/mybusinessfuture.com\/wp-content\/uploads\/2026\/05\/sap-bpc-bw-cve-2026-27681-sql-injection-mittelstand-patch-cover-hero.jpg","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[2220,2230],"tags":[],"class_list":["post-99392","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-digital-business-future","category-infrastructure-reseau","entry"],"evm_reading_time_minutes":13,"wpml_language":"fr","wpml_translation_of":99369,"acf":[],"yoast_head":"\n\n
Pourquoi cette faille ne tombe pas dans la bo\u00eete de s\u00e9curit\u00e9 cyber<\/h2>\n
Qu’affirment les 11 versions concern\u00e9es sur les entreprises allemandes<\/h2>\n
Qu’est-ce qui brise, qu’est-ce qui aide : le sprint de correctifs de mai<\/h2>\n
\n
\n
Un plan 14-jours adapt\u00e9 au monde des PME<\/h2>\n
Ce que la direction doit vraiment savoir<\/h2>\n
Quoi de plus \u00e0 faire autre que le patch<\/h2>\n
Foire aux questions<\/h2>\n
Est-ce que CVE-2026-27681 est actuellement exploit\u00e9 ?<\/strong><\/summary>\n
Est-ce suffisant de lancer la Note 3719353 uniquement dans BPC si nous n’avons pas de BW ?<\/strong><\/summary>\n
Qu’est-ce que faire si notre version BW est 7.40 et que la Note SAP ne la mentionne pas ?<\/strong><\/summary>\n
Est-ce que le correctif entrera en conflit avec notre projet de transition S\/4HANA pr\u00e9vu pour l’\u00e9t\u00e9 ?<\/strong><\/summary>\n
Avez-vous besoin d’une consultation externe pour cela ?<\/strong><\/summary>\n
\n
Plus du r\u00e9seau MBF Media<\/h2>\n
\n