SAPが2026年10月のセキュリティパッチデーで公開した修正は、NetWeaver、S/4HANA、製造業向けソフトウェア、クラウド開発ライブラリにまたがる重大な脆弱性を対象としています。
10月13日のリリースには、新規のセキュリティノート16件、GitHubのセキュリティアドバイザリ4件、既存ノートの更新2件が含まれます。特に深刻な問題は、サーバサイドリクエストフォージェリ、アクセス制御の不備、コードインジェクション、認可チェックの欠如です。
4件の脆弱性が「緊急（Critical）」に位置づけられており、CVSSスコアは9.1から10.0の範囲です。公開されたベクターからは、機密性・完全性・可用性に深刻な影響が及ぶ可能性がうかがえますが、悪用に必要な前提条件は脆弱性ごとに異なります。
なお、今回の公開情報では、実際に悪用が確認されたかどうかは明らかにされていません。攻撃チェーンを再現できるほどの技術的詳細も示されていません。
CVE-2026-89110は、SAP NetWeaver Visual Composer（VC70RUNTIME 7.50）に影響します。アクセス制御の不備に分類されるこの脆弱性のCVSSスコアは9.9です。ベクターによると、ネットワーク経由で、低い攻撃複雑性、低い権限、ユーザー操作なしで悪用が可能です。
悪用に成功すると、脆弱なコンポーネントのセキュリティスコープを超えてリソースに影響が及ぶ可能性があり、機密性・完全性・可用性のいずれにも高い影響が出ます。
同じく9.9と評価されたCVE-2026-89107は、S/4HANAの「Manage Substitution/Validation Rules」機能（S4CORE バージョン105から109）に影響します。コードインジェクションに分類され、こちらも低い権限が必要ですが、ユーザー操作は不要です。
コードを注入できることに加え、完全性への影響が深刻であるため、基幹業務システムを運用する環境にとっては大きな懸念材料です。ただし、提供されたアドバイザリには、実行コンテキストやペイロードの仕組みは記載されていません。
CVE-2026-89108は、SAP Manufacturing Integration and Intelligenceの設定サービスにおける認可チェックの欠如を修正するものです。XMII 15.4および15.5に影響し、スコアは9.1です。
9.9と評価された2件の脆弱性とは異なり、ベクターでは高い権限が必要とされています。露出範囲や想定される攻撃経路を評価するうえで、重要な違いです。
最高スコアのCVE-2026-89111は、0.45.2より前のバージョンのSAP Cloud SDK for Pythonに存在するOAuth2のサーバサイドリクエストフォージェリの脆弱性です。
スコア10.0のベクターは、認証なしかつユーザー操作なしでネットワーク経由の悪用が可能で、コンポーネントのセキュリティスコープを超えて深刻な影響が及ぶ可能性を示しています。一方、到達可能な宛先、認証情報の漏えい、その他の悪用結果については、公開情報では明示されていません。
SAP Commerce Cloudでは、COM_CLOUD 2211-JDK21に影響する、スコア8.8のSQLインジェクションの脆弱性CVE-2026-89113も修正されました。あわせて、NetWeaverやSAP Web Dispatcherで使われるInternet Communication Managerコンポーネントのメモリ破損に対処するのがCVE-2026-58249です。
メモリ破損に分類されるものの、提供されたスコア7.5のベクターでは、影響は可用性のみとされています。機密性の喪失や完全性の侵害は含まれていません。
そのほかの脆弱性は、認可の弱点、クロスサイトスクリプティング、情報漏えい、オープンリダイレクト、コマンドインジェクション、不適切な認証など多岐にわたります。
更新された既存の修正は2件です。2026年3月に最初に対応されたCVE-2026-24316と、2025年9月に最初に対応されたCVE-2025-42938が該当します。
SAPは、セキュリティノートの手順に沿って修正を優先的に適用するよう推奨しています。公式スケジュールでも、2026年10月のパッチデーは10月13日であることが確認できます。
今回のリリースでは、対策計画を立てる際に、認証なしで悪用可能な脆弱性と、既存の権限を必要とする脆弱性を区別すべきです。管理者は、製品名だけで脆弱性の有無を判断せず、各ノートに記載されたコンポーネントのバージョンと、導入済みのバージョンを照合して確認してください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/critical-sap-netweaver-and-s-4hana-vulnerabilities/
