SAP

SAPは、2026年9月のセキュリティアップデートにおいて、複数の製品にまたがる20件の脆弱性に対処しました。これには、SAPカーネルコードに存在する、深刻度が最高レベルに相当するメモリ破損の脆弱性も含まれています。

CVE-2026-44756として追跡され、この脆弱性を報告したOnapsisのセキュリティ研究者らによって「OVERPASS」と名付けられたこの脆弱性は、Extended Passport Protocol（EPP）処理ライブラリにおける典型的なバッファオーバーフローの弱点に起因しています。

この脆弱性が悪用されると、権限を持たない攻撃者が、管理権限を持って脆弱なSAPホスト上で任意のコマンドを実行できるようになり、その結果、基盤となるSAPプロセスや業務データが完全に侵害されることになります。

この脆弱性は、SAPシステム（SAP NetWeaver Application Server）をHTTP、HTTPS、およびSMTP経由でインターネットに接続するSAPアプリケーションサーバーのネットワークコンポーネントであるSAP Internet Communication Manager（ICM）を介して悪用される可能性があります。

Onapsis社の推計によると、インターネットに公開されている10,000台以上のSAPシステムがこの脆弱なコンポーネントを使用しており、CVE-2026-44756の脆弱性を悪用した攻撃の標的となる可能性があります。

「高精度のフィンガープリントを用いた標的型検索により、パブリックインターネットからアクセス可能なSAP Webインターフェースを公開している、インターネットに公開されている1万件以上の固有のIPアドレスが特定されました。この数字は控えめな見積もりです」と、OnapsisのCTOであるJP Perez-Etchegoyen氏は火曜日に述べました。

「この数値はHTTP経由でアクセス可能なシステムのみをカウントしたものであり、SAP Web Dispatcherについては大幅に過小評価されています。SAP Web Dispatcherはバックエンドをプロキシし、ルートパスにSAPを特定するバナーを表示しないため、インターネット全体のスキャナーがこれを特定することは構造的に困難です。」

S4GET：SAP NetWeaver Message Serverの論理的欠陥

本日、SAPは、Onapsis Research Labsによって「S4GET」と名付けられた、SAP NetWeaver Message Serverにおける重大な認証欠落の脆弱性であるCVE-2026-58240についても対処した。

この脆弱性が悪用されると、認証されていない攻撃者はSAPシステムクラスタ全体にアクセスし、ネットワークを介してリモートで悪意のあるペイロードや任意のコマンドを実行することが可能になる。

「この脆弱性は、すべてのSAP GUIクライアントが接続する同じパブリックポートを通じてトリガーされるため、エンドユーザーのログオン機能を損なうことなくファイアウォールで遮断することはできません」と、Onapsisのセキュリティ研究者であるパブロ・アルトゥソ氏は説明しました。

「この脆弱性の悪用には、認証情報も、証明書も、事前の設定ミスの存在も不要です。攻撃が成功すると、クラスタ内のすべてのアプリケーションサーバー上で、SAP を実行する OS レベルのユーザーである <sid>adm として、完全なリモートコード実行が可能になります。」

先月、SAPはクラウド型eコマースプラットフォーム「Commerce Cloud」における別の最高深刻度脆弱性（CVE-2026-58231）を修正したが、脅威インテリジェンス企業のDefusedは、この脆弱性がパッチ適用から数日後に攻撃で積極的に悪用されていると指摘していた。

2021年11月以降、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、ランサムウェア集団によって悪用された3件を含む14件のSAPのセキュリティ欠陥を、現在悪用されている脆弱性のリストに追加している。

SAPはドイツに本拠を置く多国籍ソフトウェア企業であり、2025会計年度の総売上高は360億ユーロを超え、世界の上位100社のうち99社にサービスを提供している。