SAPソフトウェアの脆弱性を悪用すると、正規のアクセス権を持つユーザーが、想定を大幅に上回る範囲で企業システムを制御できる可能性がある。
SAPが10月13日に公開したセキュリティアップデートでは、S/4HANAの重大なコードインジェクション脆弱性と、NetWeaverおよびWeb Dispatcherに影響する別の深刻度の高いメモリ破損脆弱性が修正された。
影響を受けるシステムを運用している組織では、ソフトウェアの構成と、脆弱なコンポーネントにアクセスできるユーザーによって、リスクの度合いが変わる。
業務ルールへの入力で不正なコードを実行可能
CVSSで9.9と評価された重大な脆弱性CVE-2026-89107は、S/4HANAの「Manage Substitution/Validation Rules」機能に影響する。 Onapsisの10月のパッチ分析によると、入力検証が不十分なため、細工したルール定義によって任意のABAPコードを実行される可能性がある。
悪用には、特定のSAP Fioriビジネスロールを持つ認証済みアカウントが必要となる。こうした権限を持つ攻撃者は、影響を受けるシステムを完全に制御できる可能性がある。
S4COREの105から109までのバージョンが脆弱で、SAPはSecurity Note 3805589でこの脆弱性に対処した。
メモリ破損により認証なしでSAPサービスが停止する可能性
別の脆弱性CVE-2026-58249は、NetWeaverとWeb Dispatcherが使用するInternet Communication Managerに影響する。CVSSで7.5と評価されたこの脆弱性は、ネットワーク要求の検証が不適切であることに起因し、メモリエラーを誘発して影響を受けるプロセスをクラッシュさせる可能性がある。
攻撃者が有効なログイン認証情報を持つ必要はないが、標的のインストール環境がHTTP/2に対応し、同プロトコルを有効にしている必要がある。その結果、 サービス拒否攻撃によって、従業員が日常業務で依存するSAPアプリケーションにアクセスできなくなる可能性がある。
この 10月のセキュリティ速報では、影響を受けるカーネルおよびWeb Dispatcherのコンポーネントに加え、SAP Content Serverと一部のHANAアプリケーションサービスを特定している。修正についてはSecurity Note 3765424が対象となる。
SAP管理者が修正の優先順位を決める方法
S/4HANA、NetWeaver、またはWeb Dispatcherのインストール環境を管理している場合、CVSSスコアが最も高いものを、最初にパッチを適用すべきシステムと自動的に判断すべきではない。効果的な脆弱性の優先順位付けでは、攻撃者がサービスに到達できるかどうかや、障害が発生した場合にどの程度の混乱が生じるかも考慮する。
SAP Basis管理者と企業のセキュリティチームは、いくつかの確認事項を軸に対応を連携させるべきだ。
- 影響を受けるインストール環境を特定する。インストール済みのS4COREリリースと、関連するインターネット公開コンポーネントをセキュリティノートと照合する。必要に応じて接続されたサービスも対象に含め、メンテナンスを予定する前に、実際にアップデートが必要なシステムを明確にする。
- 業務ルールの権限を確認する。置換ルールと検証ルールの管理を許可されたアカウントを特定し、最近の変更に不審な動きがないかを調べ、不要な権限を削除する。既存の 特権アクセス制御では、アプリケーションレベルの機密性の高いロールを考慮すべきだ。
- HTTP/2への露出を確認する。影響を受けるサービスのうち、信頼できないネットワークからの接続を受け入れるものを特定する。修正を準備する間は不要なアクセスを制限し、特にアプリケーションの停止が重要な業務を中断させる可能性がある環境では慎重に対応する。
- 回避策とパッチテストを調整する。Onapsisによると、影響を受けるODataサービスを無効にすることは、S/4HANAの脆弱性に対する一時的な回避策となる。これにより、正規ユーザーは関連するFioriアプリケーションを通じて、置換ルールと検証ルールを追加、変更、削除できなくなる。アプリケーション所有者と業務への影響を確認し、デプロイ前後のテストを含む パッチ管理プロセスに従う。
すぐにアップデートできないシステムには、担当者を割り当て、一時的な保護策を文書化し、フォローアップの予定を設定する必要がある。こうした判断を未解決のままにすると、セキュリティ修正が利用可能になった後も、リスクにさらされる期間が長引く可能性がある。
サイバーセキュリティ関連のニュース：SAP Cloud SDKユーザーが認証情報の漏えいリスクに直面する重大な脆弱性があり、通常のパッチ確認以上の対応が必要になる可能性があります。