SAPは2026年9月のセキュリティパッチデーの一環として、19件の新規セキュリティノートを公開しました。今回の修正はSAP NetWeaver全般、S/4HANA、SAP Commerce Cloud、SAP Integration Suite、SAPUI5、そしてクラウドアプリケーション開発コンポーネントにまたがっています。
修正には4件の重大(Critical)脆弱性が含まれており、その筆頭がSAP Extended Passport処理に影響する最高深刻度のメモリ破損の欠陥です。
最も深刻な問題はCVE-2026-44756で、SAP Extended Passport(EPP)処理におけるCVSS 10.0のメモリ破損脆弱性です。
この脆弱性は複数のSAP KernelおよびWeb Dispatcherリリースに影響し、対象にはKernel 7.22、7.53、7.54、7.77、7.89、7.93、8.04、およびWeb Dispatcher 9.16から9.20までが含まれます。
ネットワーク経由で攻撃可能である点、認証が不要な点、そして機密性・完全性・可用性への影響を踏まえると、管理者はこの更新を緊急パッチ適用の最優先事項として扱うべきです。
SAPはまた、SAP NetWeaver Message Serverにおける認証欠如の重大な欠陥、CVE-2026-58240も修正しました。この脆弱性のCVSSスコアは9.8で、Kernelバージョン9.16、9.18、9.19、9.20に影響します。
未認証の攻撃者がリモートからこの問題を悪用できる可能性があるため、外部に露出している、あるいはセグメンテーションが不十分なMessage Server環境は特に懸念されます。
3件目の重大な問題であるCVE-2026-76969は、SAP Cloud Application Programming Model環境でsap/cds-mtxsライブラリを使用するマルチテナントアプリケーションに影響します。この認証情報漏えいの脆弱性は深刻度9.4と評価されており、バージョン1.18.3、2.7.6、3.9.6、4.0.2までが対象です。
SAPの9月版セキュリティノートでは、業務向けアプリケーションや連携ワークフローに影響しうるSQLインジェクション、CSRF、認可、SSRFの各脆弱性にも対応しています。
例えばCVE-2026-44766は、SAP S/4HANAのIntercompany Matching and Reconciliationに存在する深刻度6.5のSQLインジェクション脆弱性です。S4CORE 104から109、またはSAPSCORE 136を利用している組織は、パッチの適用可否を速やかに確認する必要があります。
SAP S/4HANA Finance for Advanced Payment Managementのコンポーネントには3件の個別のCSRF脆弱性が影響するほか、CVE-2026-76962ではManage Bank Chainsアプリケーションにおける認可チェックの欠如が修正されています。
これらの問題は深刻度が中程度(Medium)と評価されているものの、財務ワークフローや権限の強い業務ロールが関わることで、運用上の影響は大きくなり得ます。
セキュリティチームはまず、インターネットからアクセス可能なSAPシステム、外部から到達可能なWeb Dispatcherインスタンス、NetWeaver Message Server、CAPマルチテナントアプリケーションを特定すべきです。
そのうえで、重大な脆弱性への修正を適用し、KernelおよびコンポーネントのバージョンについてSAP側の適合性を確認したうえで、本番環境への広範な展開前にビジネスクリティカルなS/4HANAおよび連携ワークフローをテストすることが求められます。
不審な活動をより迅速に調査し、業務への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに提供しましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/sap-security-patch-day-fixes-19-new-vulnerabilities/
