SAPが緊急パッチをリリース、Extended Passport処理の重大な脆弱性を修正

SAPは火曜日、20件の新規・更新版セキュリティノートを公開しました。この中には、深刻度が「緊急」に分類されるメモリ破損の脆弱性を修正するものが含まれています。

CVE-2026-44756として追跡されているこの脆弱性は、CVSSスコアが10点満点中10で、Extended Passport(EPP)処理におけるメモリ破損の問題として説明されています。

アプリケーションセキュリティ企業のOnapsisによると、EPPデータのデシリアライズ処理において境界検証が欠落しており、外部から渡された長さフィールドの処理時に安全でないメモリ動作が発生する可能性があるとのことです。

OVERPASSと名付けられたこのセキュリティ上の欠陥は、未認証の攻撃者によって悪用され、任意のシステムコマンドの実行、データベースの認証情報やパスワードハッシュの窃取、ログイン中ユーザーのライブセッションの閲覧、さらには設定情報やSAPバイナリを含むデータの改ざんが可能になります。

Onapsisによると、この欠陥はSAPカーネルコード内に存在しており、EPPが複数のSAPアプリケーションでトレーシングに使用されているため、さまざまなコンポーネントに影響を及ぼします。

さらに同社の説明では、この脆弱性はクライアントからサーバーへの複数の通信プロトコルにわたり、新しいユーザーセッションが開かれた時点で直ちにトリガーされ、脆弱な機能はABAPシステム間でデフォルトで実装されているとのことです。

「EPPはセッションが開かれる際に処理されるため、誰が何を実行できるかを判断するあらゆるSAP制御機構、つまりユーザーロック、ロール、認可オブジェクト、ログオンポリシーはすべて、この欠陥に到達する時点よりも後に評価されます。つまり、これらのどの機構も攻撃者の妨げにはなりません」とOnapsisは説明しています。

加えて同社は、この脆弱性がWebリクエスト、SAP GUIプロトコル、Remote Function Call(RFC)接続という少なくとも3つの経路から到達可能であると述べています。

「影響を受けるコンポーネントは、SAPインストールを所有するオペレーティングシステムアカウントの権限下で動作するため、そのアカウント下でのコード実行は、SAPシステムそのものを完全に掌握することと同義です」とOnapsisは述べています。

この脆弱なカーネルコードに依存しているSAP製品には、S/4HANA、ERP、Business Suite(ECC)、NetWeaver、Web Dispatcher、BW/4HANA、Enterprise Portal、PI/PO、Solution Managerなどが含まれます。

Onapsisによると、この脆弱性が実際に悪用されたことを示す兆候は現時点でないとのことです。SAP側もこの脆弱性の実環境での悪用については言及していません。

今回のSAPの新しいパッチでは、他に3件の緊急度の高い脆弱性も修正されました。NetWeaverにおける認証チェックの欠落であるCVE-2026-58240、Cloud Application Programming Model(CAP)を利用するマルチテナントアプリケーションにおける認証情報漏えいのCVE-2026-76969、そしてNetWeaverにおけるアクセス制御の不備であるCVE-2026-66768です。

S4GETと名付けられたこの認証欠落の問題により、リモートの未認証攻撃者が不正なコンポーネントを登録し、権限のない操作を実行できる可能性があります。この不具合はSAPの最新カーネルに存在し、S/4HANA 2025以前のすべてのリリースが影響を受けるとOnapsisは述べています。

SAPの2026年9月のセキュリティパッチデーで公開されたセキュリティノートのうち5件は、ABAP Developer Tools、Integration Suite、NetWeaver Business Client、NetWeaver、Commerce Cloud(Search And Navigation)における深刻度の高い脆弱性に対応するものです。