SAPが最大深刻度の「Overpass」脆弱性にパッチを適用

10,000件を超えるインターネット公開SAPシステムが、SAPカーネルの最大深刻度の脆弱性の影響を受ける可能性があると、セキュリティベンダーのOnapsisが警告しています。

同社のOnapsis Research Labs(ORL)は、SAP Extended Passport(EPP)処理におけるメモリ破損の脆弱性を発見し、責任ある情報開示のプロセスに則ってSAPに報告しました。この脆弱性はCVE-2026-44756として追跡されています。

「ORLチームは、EPPデータのデシリアライズ処理において境界値検証が欠落しており、外部から供給される長さフィールドを処理する際にメモリ安全性の違反が発生することを発見しました」と、同社は9月8日付のブログで説明しています。

「これにより、認証されていない攻撃者が不正な形式のEPPヘッダーを含む細工されたネットワークリクエストを送信することが可能になり、未定義の動作やプログラムの異常終了を引き起こす可能性があります」

Onapsisによれば、EPP処理は共有カーネルコードであるため、この脆弱性はすべてのエンドユーザーが接続するSAP GUI層からも、SAPシステム同士を連携させるRFC層からも到達可能だといいます。

同社は、このバグが認証なしでリモートから悪用可能であり、複数のSAPコンポーネントにデフォルトで存在すると警告しています。

この脆弱性が悪用されれば、リモートの攻撃者がSAP管理者権限でSAPホスト上の任意のOSコマンドを実行できるようになり、SAPの業務データやプロセスが完全に侵害される恐れがあります。

執筆時点では実際の悪用は確認されていませんが、今後状況が変わる可能性は高いとみられます。

SAP顧客がパッチを適用すべきその他のCVE

OnapsisはさらにSAPの顧客に対し、もう一つの重大な脆弱性であるCVE-2026-58240へのパッチ適用も呼びかけています。こちらのCVSSスコアは9.8です。

「S4GET」と名付けられたこの脆弱性は、SAP S/4HANAの特定バージョンにおけるメッセージサーバーに影響を及ぼし、攻撃者がSAPシステムクラスタ全体へのアクセス権を取得し、悪意あるペイロードや任意のコマンドをリモートで実行できるようになる可能性があると同社は説明しています。

さらに以下の2件の脆弱性も確認されています。

SAP Cloud Application Programming Model(CAP)を使用するマルチテナントアプリケーションにおける認証情報漏えいの脆弱性(CVE-2026-76969)。CVSSスコアは9.4で、セキュリティノート#3798315により修正済み
SAP NetWeaverにおける不適切なアクセス制御の脆弱性(CVE-2026-66768)。CVSSスコアは9.0で、SAPセキュリティノート#3781729により修正済み。悪用されると被害者のマシン上で任意のコマンドが実行される可能性があります

Onapsisは、SAPの顧客に対し、特にCVE-2026-44756については直ちに対応を取るよう強く求めています。