SAP

SAPは、2026年7月のセキュリティアップデートの一環として、複数の製品にまたがる16件の脆弱性に対処しました。これには、NetWeaver、Commerce Cloud、およびAppRouterにおける3件の重大な脆弱性が含まれます。

今月修正された最初の重大な問題は、NetWeaver Application Server ABAP（AS ABAP）の範囲外書き込みの脆弱性に起因するメモリ破損のセキュリティ問題（CVE-2026-44747として追跡）であり、 これは、SAPの中核となるエンタープライズソフトウェア向けの実行環境、アプリケーションサーバー、および開発プラットフォームです。

「SAP NetWeaver Application Server ABAPでは、認証済みの攻撃者がメモリ管理における論理的なエラーを悪用し、メモリ破損を引き起こす可能性があります。これにより、不正なデータアクセス、改ざん、またはシステムの利用不能につながる恐れがあります」とSAPは述べています。「これは、アプリケーションの機密性、完全性、および可用性に大きな影響を及ぼします。」

image

2つ目（CVE-2026-27690）は、同社のBusiness Technology Platform（SAP BTP）上にデプロイされたクラウドベースのアプリケーション向けのNode.jsベースのミドルウェアライブラリであるSAP ApprouterにおけるHTTPリクエストスマグリングの脆弱性です。

認証されていない攻撃者は、特別に細工されたHTTPリクエストを介してこの脆弱性を悪用し、ユーザーの応答にアクセスしたり、標的となったシステムに対してサービス拒否（DoS）攻撃を仕掛けたりすることが可能です。

本日対処された3つ目の重大な脆弱性（CVE-2026-44761として追跡）は、SAP Commerce Cloudエンタープライズeコマースプラットフォームで発見されたもので、デフォルトの認証情報に起因しており、これにより攻撃者は有効なアクセストークンを取得し、特定のAPIを介してデータを読み取ったり変更したりすることが可能になる。

SAPの2026年7月のアドバイザリには、DLLハイジャック、オープンリダイレクト、認証チェックの欠如、リモートコード実行、クロスサイトスクリプティング（XSS）、 パストラバーサル、SQLインジェクション、サービス拒否（DoS）、情報漏洩、およびセキュリティ設定の不備などが含まれています。

同社は、今回修正された脆弱性が攻撃に悪用されたという証拠をまだ確認できていないものの、CISAは2021年11月以降、SAPのセキュリティ脆弱性14件を「既知の悪用済み脆弱性」カタログに追加しており、その中にはランサムウェア集団によって悪用された2件も含まれている。

ごく最近、SAPは2026年6月のセキュリティパッチパッケージの一環として15件の脆弱性を修正したが、攻撃者は開発者のシステムから認証情報を盗み出すことを目的としたサプライチェーン攻撃において、複数の公式SAP npmパッケージを侵害した。

このドイツの多国籍ソフトウェア企業は、2025会計年度に360億ユーロを超える総売上高を報告しており、世界の大手企業100社のうち99社にサーバーを提供している。