SAPの11月のパッチチューズデーでは、攻撃者による悪意あるコードの実行、認証の回避、企業システムへの不正アクセスを可能にする恐れがある最重要度の脆弱性4件に対処した。
SAPの11月10日付セキュリティ速報によると、同社は新たなセキュリティノート35件、GitHubアドバイザリ4件、既発行のノートに対する更新3件を公開した。
最も深刻な欠陥は、ネットワークトラフィックの処理、ユーザー認証、業務アプリケーションの接続を担うSAP NetWeaver、Web Dispatcher、Gatewayに影響する。このうち2件では、認証されていない攻撃者が脆弱なシステム上でリモートからコードを実行できる可能性がある。
SAPの脆弱性4件がCVSSの最高スコアを獲得
4件すべての脆弱性のCVSSスコアは10.0で、可能な限り高い深刻度評価となっている。
| CVE | 影響を受けるコンポーネント | 脆弱性 | CVSS |
|---|---|---|---|
| CVE-2026-76964 | SAP NetWeaver AS ABAP（Internet Communication Manager） | メモリ破損 | 10.0 |
| CVE-2026-89126 | SAP Web Dispatcher | メモリ破損 | 10.0 |
| CVE-2026-89103 | SAP Gateway | アクセス制御の不備 | 10.0 |
| CVE-2026-120017 | SAP NetWeaver AS ABAPおよびABAP Platform（SAML2 Service Provider） | 認証の欠如 | 10.0 |
メモリ破損に関する2件の脆弱性、CVE-2026-76964とCVE-2026-89126は、SAPコンポーネントによるネットワークトラフィックの処理方法に影響する。
The Hacker Newsの技術分析によると、いずれもWebSocket制御フレームの不適切な処理に関係している。認証されていない攻撃者が細工したリクエストを送信することで、メモリ破損を引き起こし、任意のコードを実行できる可能性がある。
CVE-2026-89103は、SAPアプリケーションと接続システム間の通信を管理するSAP Gatewayを標的とする。特定の構成では、攻撃者が信頼されたアプリケーションサーバーになりすまし、不正な操作を実行できる可能性がある。
一方、CVE-2026-120017は、シングルサインオンに使用されるSAML 2.0サービスプロバイダーに影響する。認証チェックの欠如により、攻撃者が影響を受けるシステム上で、特権アカウントを含むユーザーになりすます可能性がある。
これらの脆弱性が特に懸念されるのは、SAP環境全体の通信とアクセスを制御するサービスに影響するためだ。
SAPアプリケーションに追加の重大な脆弱性
最重要度の脆弱性4件に加え、SAPは重大と評価された脆弱性5件にも対処した。
このうち3件のCVSSスコアは9.9だった。
- CVE-2026-109803：SAP NetWeaver Knowledge ManagementのXML Formsコンポーネントにおけるコードインジェクション。
- CVE-2026-76965：SAP NetWeaverおよびABAP PlatformのABAP Application Serverに影響するOSコマンドインジェクション。
- CVE-2026-109795：S4CRMコンポーネントにおける認可チェックの欠如。
SAPは、CVE-2026-89119として追跡され、CVSSスコア9.6と評価された、Web DispatcherとInternet Communication Managerに影響するクロスサイトリクエストフォージェリ（CSRF）脆弱性も修正した。対応するセキュリティノートでは、CVE-2026-120014も参照している。
もう1件の重大な問題であるCVE-2026-109798は、SAP BusinessObjects Business Intelligence Platformに影響するXML外部エンティティ（XXE）脆弱性で、CVSSスコアは9.1だ。
今回のリリースに先立ち、10月のSAPセキュリティアップデートでは、S/4HANAの重大なコードインジェクション脆弱性と、別のNetWeaverメモリ破損脆弱性に対処していた。
SAPは10月に、アプリケーションの認証情報を露出させる恐れがある重大なCloud SDKの脆弱性にも対処しており、従来型のSAPインストール環境とクラウド接続アプリケーションの双方にセキュリティリスクが存在することを浮き彫りにした。
SAP管理者が最初にパッチを適用すべき対象
SAPは顧客に対し、セキュリティノートを確認し、提供されている修正の適用を優先するよう推奨している。
セキュリティチームとSAP Basisチームは、以下に重点を置くべきだ。
- 影響を受けるインストール環境を特定する。NetWeaver、Web Dispatcher、Gateway、SAML2コンポーネントを棚卸しし、導入済みバージョンをSAPのセキュリティノートと照合する。
- 外部に露出したサービスを優先する。ネットワークからアクセス可能なWeb DispatcherとInternet Communication Managerのインターフェース、特に認証なしで到達できるものを確認する。
- 認証とアクセス制御を確認する。SAML2の構成、信頼するアイデンティティープロバイダー、Gatewayのアクセス制御ルールを調査する。
- セキュリティアップデートを適用する。SAP管理者と連携してカーネルおよびアプリケーションのパッチを適用し、本番環境に導入する前に変更をテストする。
- 修正を検証する。影響を受けるコンポーネントが修正済みバージョンで稼働していることを確認し、関連ログを調べて不審な活動がないか確認する。
最重要度の脆弱性4件は、それぞれSAPセキュリティノート3778530、3778556、3798345、3849308に対応する。
直ちにパッチを適用できない場合、管理者はSAPが文書化している緩和策に従うべきだ。ネットワーク制限によって露出を抑えられる可能性はあるが、必要なセキュリティアップデートの代わりにはならない。影響を受けるコンポーネントの一部には、文書化された回避策が存在しない。
体系的なパッチおよび脆弱性管理プロセスは、重要な業務アプリケーションへの影響を最小限に抑えながら、組織が外部に露出したシステムの優先順位を決めるのに役立つ。
SAPの公開速報では、最重要度の脆弱性4件が実際に悪用されたことは確認されていない。
しかし、リモートコード実行、認証回避、システムへの不正アクセスが可能になる恐れがあることから、11月のリリースは企業のセキュリティチームにとって優先度の高い対応となる。
満点のスコアが4件もあれば、誰もが注目するのは当然だ。真の試金石は、組織がどれだけ迅速に露出を解消できるかにある。
サイバーセキュリティ関連の別のニュースでは、Samsungの2026年11月セキュリティアップデートは、重大なAndroidの脆弱性とGalaxy固有の欠陥に対処しており、リモートコード実行、機密情報への不正アクセス、その他のセキュリティ侵害を可能にする恐れがある弱点も含まれている。