SAPは、企業向け製品群全体に影響する重大な脆弱性4件とその他15件の欠陥に対処する新規セキュリティノート19件を公開しました。同社はこれに加えて、8月分のノート1件も更新しています。
最も緊急性が高いのは、CVSSスコア10.0を記録したCVE-2026-44756です。これはExtended Passport(EPP)ProcessingにおけるSAPのメモリ破損の脆弱性で、複数のSAP KernelおよびWeb Dispatcherのリリースに影響します。
BookSecurity Audits
外部に公開されている、あるいは広くアクセス可能なコンポーネントを利用しているSAP環境は、直ちに修正措置を最優先で進める必要があります。
SAPの2026年9月セキュリティアップデート
他に3件の重大な脆弱性も、攻撃対象領域を拡大しうるものです。深刻度9.8のCVE-2026-58240は、NetWeaver Message Serverにおける認証欠如の脆弱性です。
深刻度9.4のCVE-2026-76969は、SAP Cloud Application Programming Modelの`sap/cds-mtxs`ライブラリで構築されたマルチテナントアプリケーションにおいて、認証情報の漏えいにつながる可能性があります。
深刻度9.0のCVE-2026-66768は、SAP GUI for Javaに影響するアクセス制御不備の問題です。NetWeaverおよびCAPで確認されたこれらの脆弱性については、露出状況の速やかな確認、認証情報のローテーションに関する判断、そして関連するすべてのテナントやインスタンスへのパッチ適用状況の検証が求められます。
新規ノートの残りには、深刻度「高」の脆弱性が5件含まれています。SAP Integration SuiteのTrading Partner Managementに影響するXXEの問題(CVE-2026-76958)、SAP NetWeaver Business Clientにおける安全でないデシリアライゼーションの欠陥(CVE-2026-76967)がそれに当たります。
もう1件のメモリ破損の脆弱性であるCVE-2026-66767は、ABAP向けおよびABAP PlatformのNetWeaver Application Serverに影響します。
さらに、SAP Commerce Cloud Search and Navigationでは、同梱されているJetzコンポーネントにおけるCRLFインジェクション(CVE-2026-2332)への修正が行われました。これとは別に、SAPはABAP Developer Toolsにおける深刻度「高」の権限昇格の欠陥であるCVE-2026-58243について、8月に公開した勧告を更新しています。
深刻度「中」の修正では、Web Dispatcher、Internet Communication Manager、Content Serverにおける情報漏えいの問題、およびS/4HANA Intercompany Matching and ReconciliationにおけるSQLインジェクションの脆弱性に対処しています。
Manufacturing Integration and IntelligenceにはSSRFの問題が、Commerce CloudにはLog4jに関連する設定不備が、SAPUIにはクリックジャッキングの脆弱性がそれぞれ確認されています。
S/4HANA Financeおよび権限関連の4件のノートでは、CSRFまたは権限チェックの欠如にも対処しています。深刻度「低」に分類される脆弱性は、Process Integration SOAP Adapterにおけるサービス拒否(DoS)の問題1件のみです。
管理者は、導入済みのコンポーネントおよびライブラリのバージョンを、影響を受けるリリースのデータと照合して棚卸しする必要があります。そのうえで、インターネットへの露出状況や業務上の重要度に基づいて重大な4件のノートを優先的に対応し、確立された変更管理プロセスを通じてSAPの修正を適用してください。
NetWeaver、Web Dispatcher、Message Server、Commerce Cloud、統合サービスなど外部に公開されているコンポーネントについては、チームはアクセス制御、サービスログ、不審な認証活動、外部への通信、公開されているエンドポイントについても併せて確認する必要があります。
パッチ適用後は、クラスタ環境、災害復旧環境、テナント環境全体で修正済みバージョンが確実に展開されているかを確認するため、回帰テストを実施してください。
セキュリティチームは、特に複数のSAPアプリケーションがカーネルアップデートを共有している場合、展開前に前提条件と依存関係を確認する必要があります。バックアップとロールバック計画を保持し、独自の回避策ではなくベンダーがサポートするパッチを適用したうえで、各ノートを完了まで追跡してください。
複数の脆弱性が低い権限で悪用可能であったり、ユーザーの操作を必要としたりすることから、組織はパッチ適用と併せて、最小権限の見直し、フィッシング耐性を高める対策、影響を受けるすべての業務システムにおける不審な管理操作の監視を統合的に行う必要があります。
SAPは、顧客に対し同社サポートポータルのSecurity Notesセクションを参照し、該当するパッチを速やかに適用するよう強く推奨しています。
CompareSecurity Systems
直ちにパッチを適用できない組織は、代替の統制策を文書化し、影響を受けるサービスへのアクセスを制限し、特権アカウントを最小限に抑え、前倒しのメンテナンス期間を設定する必要があります。運用上の追跡に役立つよう、CVE、SAPノート、対象製品、影響を受けるバージョン、深刻度、CVSSの完全な一覧を以下に示します。
CVE詳細
| CVE | 脆弱性 | 影響を受ける製品/バージョン | 優先度 | CVSS |
|---|---|---|---|---|
| CVE-2026-44756 | メモリ破損 | SAP Extended Passport (EPP) Processing KRNL64NUC: 7.22, 7.22EXT; KRNL64UC: 7.22, 7.22EXT, 7.53, 8.04; WEBDISP: 9.16, 9.18, 9.19, 9.20; KERNEL: 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20 |
重大(Critical) | 10.0 |
| CVE-2026-58240 | 認証チェックの欠如 | SAP NetWeaver Message Server KERNEL: 9.16, 9.18, 9.19, 9.20 |
重大(Critical) | 9.8 |
| CVE-2026-76969 | マルチテナントCAPアプリケーションにおける認証情報の漏えい | SAP CAPライブラリ sap/cds-mtxsバージョン: ≤1.18.3, ≤2.7.6, ≤3.9.6, ≤4.0.2 |
重大(Critical) | 9.4 |
| CVE-2026-66768 | アクセス制御の不備 | SAP NetWeaver SAP GUI for Java BC-FES-JAV: 8.10 |
重大(Critical) | 9.0 |
| CVE-2026-58243 | 権限昇格 — 8月分ノートの更新 | SAP ABAP Developer Tools SAP_BASIS: 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 918, 920 |
高(High) | 8.8 |
| CVE-2026-76958 | XML External Entity (XXE) | SAP Integration Suite Cloud Integration – Trading Partner Management V2: 2.9.2; B2B Integration Factory – Cloud Integration – Trading Partner Management: 1.10.0 |
高(High) | 8.5 |
| CVE-2026-76967 | 安全でないデシリアライゼーション | SAP NetWeaver Business Client BC-WD-CLT-BUS: 8.00, 8.10 |
高(High) | 7.8 |
| CVE-2026-66767 | メモリ破損 | SAP NetWeaver AS for ABAP and ABAP Platform KRNL64NUC: 7.22, 7.22EXT; KRNL64UC: 7.22, 7.22EXT, 7.53, 8.04; KERNEL: 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20 |
高(High) | 7.7 |
| CVE-2026-2332 | Jetzコンポーネントを介したCRLFインジェクション | SAP Commerce Cloud Search and Navigation COM_CLOUD: 2211, 2211-JDK21 |
高(High) | 7.4 |
| CVE-2026-76968 | 情報漏えい | SAP Web Dispatcher, Internet Communication Manager, and SAP Content Server KRNL64NUC: 7.22, 7.22EXT; KRNL64UC: 7.22, 7.22EXT, 7.53; WEBDISP: 7.22_EXT, 7.53, 7.54, 7.77, 7.93, 9.16; CONTSERV: 7.53, 7.54; KERNEL: 7.22, 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.19, 9.20 |
中(Medium) | 6.5 |
| CVE-2026-44766 | SQLインジェクション | SAP S/4HANA Intercompany Matching and Reconciliation SAPSCORE: 136; S4CORE: 104, 105, 106, 107, 108, 109 |
中(Medium) | 6.5 |
| CVE-2026-76971 | サーバーサイドリクエストフォージェリ(SSRF) | SAP Manufacturing Integration and Intelligence XMII: 15.4, 15.5 |
中(Medium) | 6.5 |
| CVE-2026-34477 | Apache Log4jに起因するセキュリティ設定不備 | SAP Commerce Cloud Search and Navigation COM_CLOUD: 2211, 2211-JDK21 |
中(Medium) | 5.9 |
| CVE-2026-76977 | クリックジャッキング | SAPUI5 Frame Options Allowlist SAP_UI: 750, 754, 755, 756, 757, 758, 816; UI_700: 200 |
中(Medium) | 4.3 |
| CVE-2026-76960 | クロスサイトリクエストフォージェリ(CSRF) | SAP S/4HANA Finance for Advanced Payment Management S4CORE: 105, 106, 107 |
中(Medium) | 4.3 |
| CVE-2026-76961 | クロスサイトリクエストフォージェリ(CSRF) | SAP S/4HANA Finance for Advanced Payment Management S4CORE: 108 |
中(Medium) | 4.3 |
| CVE-2026-76959 | クロスサイトリクエストフォージェリ(CSRF) | SAP S/4HANA Finance for Advanced Payment Management UIAPFI70: 800, 900, 901, 902 |
中(Medium) | 4.3 |
| CVE-2026-76962 | 権限チェックの欠如 | SAP S/4HANA Manage Bank Chains app S4CORE: 107, 108, 109 |
中(Medium) | 4.3 |
| CVE-2026-76963 | 権限チェックの欠如 | SAP NetWeaver and ABAP Platform SAP_BASIS: 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758 |
中(Medium) | 4.3 |
| CVE-2026-58234 | サービス拒否(DoS) | SAP Process Integration SOAP Adapter MESSAGING: 7.50; SAP_XIAF: 7.50 |
低(Low) | 2.2 |
マルウェアやフィッシングの脅威が出現してから24時間以内に、SOCを最新の状態に保ちましょう。 早期検知でインシデントを防ぐANYRUNを試す。
翻訳元: https://gbhackers.com/sap-september-2026-security-update/
