SAP

SAPは、Commerce CloudとS/4HANAの2つの重大な欠陥を含む、複数の製品にわたる15の脆弱性に対処した2026年5月のセキュリティアップデートを発表した。

Commerce Cloudは、大手小売業者やグローバルブランドが所有するオンラインストアで使用されるエンタープライズグレードのeコマースプラットフォームであり、S/4HANAは、同社のオンプレミスECC ERPシステムに取って代わるクラウドベースのエンタープライズリソースプランニング（ERP）スイートである。

CVE-2026-34263として追跡されている最初の重大な欠陥は、SAP Commerce Cloudの認証チェックの欠落で、認証されていない攻撃者が脆弱なサーバー上でコードを実行できるようにするものです。

「不適切なSpring Securityの設定により、SAP Commerce Cloudは認証されていないユーザーによる悪意のある設定のアップロードやコードインジェクションを可能にし、その結果、任意のサーバーサイドのコードが実行され、アプリケーションの機密性、完全性、可用性に大きな影響を与える」とSAPは述べている。

2つ目の重大な脆弱性（CVE-2026-34260）は、基本的な権限を持つ攻撃者が、複雑度の低いSQLインジェクション攻撃で悪意のあるSQL文を注入することを可能にします。

「SAPによると、「アプリケーションは、この悪意のあるユーザー入力をSQLクエリに直接連結し、適切な検証やサニタイズなしに基礎となるデータベースに渡します。「この脆弱性が悪用されると、攻撃者はデータベースの機密情報に不正アクセスし、アプリケーションをクラッシュさせる可能性があります。この脆弱性は、アプリケーションの機密性と可用性に大きな影響を与えます。

SAPの2026年5月のセキュリティアドバイザリには、コマンドインジェクション、認証チェックの欠落、クロスサイトスクリプティング（XSS）、クロスサイトリクエストフォージェリ（CSRF）、サービス拒否を含む、重大度の高い欠陥1件と重大度の中程度の問題11件の修正も記載されている。

SAPは、本日パッチが適用された脆弱性のいずれかが悪用されたという証拠を発見していないが、CISAは近年、ランサムウェア攻撃で悪用された2件を含む14件のSAPのセキュリティ欠陥をKnown Exploited Vulnerabilitiesカタログに追加している。

最近では、開発者のシステムから認証情報と認証トークンを盗むことを目的としたサプライチェーン攻撃で、複数のSAP公式npmパッケージが侵害された。

企業向けソフトウェアの世界最大のベンダーであるドイツの多国籍ソフトウェア企業は、世界の大企業100社のうち99社にサービスを提供しており、2025会計年度の総売上高は360億ユーロを超えたと報告されている。