SAP fixes critical flaws in NetWeaver and Commerce Cloud

SAPは、2026年6月のセキュリティパッチパッケージの一環として、15件の脆弱性に対する修正プログラムをリリースしました。これには、SAP NetWeaverおよびSAP Commerce Cloudに影響を与える重大な深刻度の脆弱性が4件含まれています。

NetWeaverは、SAPの中核となるアプリケーションプラットフォームおよびミドルウェアスタックであり、ERPシステムを含む多くのSAPビジネスアプリケーションの基盤を提供し、アプリケーションの提供、統合、認証、ユーザー管理、データ処理などの機能を担っています。

Commerce Cloudは、エンタープライズ向けeコマースプラットフォーム（旧Hybris）です。これにより、組織はB2BおよびB2Cコマース向けのオンラインストア、デジタル販売チャネル、製品カタログ、顧客アカウント、注文管理システムを構築・管理することが可能になります。

image

今月のセキュリティ情報において、SAPは以下の重大な脆弱性に対処したと記載しています：

  • CVE-2026-44748 (CVSS 9.9) – SAP NetWeaver AS ABAP および ABAP Platform における XML 署名のラッピング（XML Signature Wrapping）の問題。SAML ベースの環境において、認証バイパスが可能となる恐れがあります。
  • CVE-2026-27671 (CVSS 9.8) – SAP NetWeaver/ABAP Platform Application Server ABAPにおけるメモリ破損の脆弱性。
  • CVE-2026-22732 (CVSS 9.1) – SAP Commerce CloudおよびSAP Data Hubに影響を与えるSpring Security関連の脆弱性。
  • CVE-2026-40128 (CVSS 9.0) – SAP NetWeaver Application Server JavaのWebコンテナにおけるディレクトリトラバーサル脆弱性。

「SAP NetWeaver Application Server ABAP および ABAP Platform では、通常の権限を持つ認証済み攻撃者が有効な署名付きメッセージを取得し、改ざんされた署名付き XML ドキュメントを検証者に送信することが可能である」と、CVE-2026-44748 の説明には記載されている。

「これにより、改ざんされた識別情報が受け入れられ、機密性の高いユーザーデータへの不正アクセスや、通常のシステム利用の妨害につながる可能性があります。」

CVE-2026-27671 の場合、攻撃者は脆弱なエンドポイントに細工された RFC リクエストを送信することで、認証なしでこの脆弱性を悪用し、不適切なカーネル検証を悪用してメモリ破損を引き起こすことができます。

上記の重大なセキュリティ問題に加え、SAPは2つの高深刻度の脆弱性に対処しました。CVE-2026-29145はCommerce Cloudに影響を与える複数のApache Tomcatの欠陥を含み、CVE-2026-44751はNetWeaver AS ABAPにおける認証チェックの欠落に関する問題です。

また、このドイツのエンタープライズソフトウェア企業は、複数のSAP製品にまたがる様々なSQLインジェクション、パストラバーサル、クロスサイトスクリプティング（XSS）、電子メールのなりすまし、および認証バイパスに関する問題に対処しました。

これらの脆弱性の詳細および緩和策や回避策については、セキュリティポータルアカウントを持つSAP顧客のみが閲覧可能です。

影響を受ける製品を使用している組織は、パッチ適用を優先すべきです。特に、深刻度が「非常に高い」と評価され、企業環境に深刻な影響を及ぼす可能性のあるSAML認証の脆弱性（CVE-2026-44748）およびメモリ破損の問題（CVE-2026-27671）については、早急な対応が必要です。