SAPは2026年10月13日のセキュリティパッチデーで、企業向けアプリケーション、統合プラットフォーム、開発者向けライブラリに見つかった重大な脆弱性に対処しました。
Cybersecurityconsulting
10月のセキュリティ情報では、このリリースの詳細が公開されており、新規のセキュリティノート16件、GitHubセキュリティアドバイザリ4件、既存ノートの更新2件が含まれます。対象となるCVEは合計22件です。
このうち4件の脆弱性は「Critical（重大）」と評価されています。最も深刻なのは、SAP Cloud SDK for PythonにおけるOAuth2のサーバサイドリクエストフォージェリ（SSRF）の脆弱性です。
ほかの重大な問題は、SAP NetWeaver Visual Composer、SAP S/4HANA、SAP Manufacturing Integration and Intelligenceに関するものです。SAPは、セキュリティノートの手順に沿って修正を優先的に適用するよう推奨しています。
SAP、NetWeaverの重大な脆弱性を修正
CVE-2026-89111：CVSSスコアは10.0です。この脆弱性はSAP Cloud SDK for Pythonの0.45.2より前のバージョンに影響します。OAuth2のSSRFの脆弱性で、攻撃者は認証やユーザー操作なしに、ネットワーク経由で悪用できます。
悪用されると、機密性、完全性、可用性に深刻な影響が及ぶおそれがあります。影響は、脆弱なコンポーネント自体のセキュリティ権限の範囲を超えて広がります。
CVE-2026-89110：SAP NetWeaver Visual Composer（VC70RUNTIME 7.50）に影響するアクセス制御の不備で、評価は9.9です。Python SDKの問題とは異なり、低い権限が必要ですがユーザー操作は不要で、機密性、完全性、可用性に高いリスクをもたらします。
CVE-2026-89107：SAP S/4HANAの「Manage Substitution/Validation Rules」機能にコードインジェクションのリスクをもたらす脆弱性で、S4CORE 105から109までのバージョンが影響を受けます。
先に挙げた脆弱性と同様、リモートから悪用可能です。必要なのは低い権限のみで、未認証でのアクセスは不要という点が懸念されます。
Cybersecurityconsulting
CVE-2026-89108：SAP Manufacturing Integration and IntelligenceのConfiguration Serviceに影響する脆弱性で、具体的にはXMII 15.4および15.5が対象です。
評価は9.1で、認可チェックの欠如に起因します。ただし、悪用には高い権限が必要となるため、エクスポージャーの評価に影響します。
CVE-2026-89113：評価8.8のSQLインジェクションの脆弱性で、SAP Commerce Cloudの標準コード（COM_CLOUD 2211-JDK21）に存在します。低い権限のユーザーがネットワーク経由で悪用でき、機密性、完全性、可用性に深刻な影響を及ぼす可能性があります。
CVE-2026-58249：SAP NetWeaverとSAP Web Dispatcherが使用するInternet Communication Managerのメモリ破損に関する脆弱性です。評価は7.5で、ネットワーク経由で認証なしに悪用でき、可用性への影響は大きい一方、機密性と完全性には影響しません。
CVE-2026-89120：SAP ABAP Platformにおける認可チェックの欠如に関する問題で、カーネルバージョン7.93および9.16が影響を受けます。深刻度スコアは7.1で、主に完全性を脅かします。
セキュリティ情報に含まれるそのほかの項目は、クロスサイトスクリプティング、情報漏えい、オープンリダイレクト、認可の脆弱性、コマンドインジェクション、不適切な認証に関する脆弱性です。SAPはまた、ABAPアプリケーションサーバのSSRFの脆弱性であるCVE-2026-24316と、ABAP PlatformのXSSの脆弱性であるCVE-2025-42938のノートも更新しました。
セキュリティ情報には、悪用の確認、公開されたエクスプロイト、インシデントの帰属についての記載はありません。そのため、深刻度スコアは評価された技術的リスクを示すものであり、攻撃者が現在これらの脆弱性を悪用している証拠ではありません。
対処方法として、セキュリティ情報は顧客にSAPのサポートポータルを参照するよう案内し、パッチを速やかに適用するよう強調しています。SAPが公表しているポリシーでも、セキュリティ修正をできるだけ早く実施することを推奨しています。ただし、パッチを入手できるかどうかは、メンテナンスの状況やサポートパッケージの適用資格によって左右される場合があるとしています。
Cybersecurityconsulting
管理者は、影響を受けるバージョンの一覧だけに頼るのではなく、個々のノートを確認して、適用すべき修正を把握する必要があります。完全なインストール手順もノートに記載されています。
CVE詳細一覧
| CVE | 脆弱性と影響を受ける製品 | 深刻度 / CVSS |
|---|---|---|
| CVE-2026-89111 | OAuth2 SSRF — SAP Cloud SDK for Python | Critical / 10.0 |
| CVE-2026-89110 | アクセス制御の不備 — NetWeaver Visual Composer | Critical / 9.9 |
| CVE-2026-89107 | コードインジェクション — S/4HANA Manage Substitution/Validation Rules | Critical / 9.9 |
| CVE-2026-89108 | 認可チェックの欠如 — Manufacturing Integration and Intelligence Configuration Service | Critical / 9.1 |
| CVE-2026-89113 | SQLインジェクション — Commerce Cloud OOTB Code | High / 8.8 |
| CVE-2026-58249 | メモリ破損 — NetWeaverおよびWeb DispatcherのInternet Communication Manager | High / 7.5 |
| CVE-2026-89120 | 認可チェックの欠如 — ABAP Platform | High / 7.1 |
| CVE-2026-89112 | アクセス制御の不備によるCLA署名の個人情報の露出 — CLA-Assistant | Medium / 6.5 |
| CVE-2026-76972 | XSS — Manufacturing Integration and Intelligence | Medium / 6.5 |
| CVE-2026-24316 | SSRF — NetWeaver Application Server for ABAP | Medium / 6.4 |
| CVE-2025-42938 | XSS — NetWeaver ABAP Platform | Medium / 6.1 |
| CVE-2026-89117 | XSS — NetWeaver Enterprise Portal | Medium / 6.1 |
| CVE-2026-76975 | XSS — SAPUI5 Support Assistant Overlay | Medium / 6.1 |
| CVE-2026-89122 | オープンリダイレクト — NetWeaver Enterprise Portal | Medium / 6.1 |
| CVE-2026-89116 | OSコマンドインジェクション — Yeoman-UI / Application Wizard Extension for VS Code | Medium / 5.9 |
| CVE-2026-76976 | XSS — SAP GUI for HTMLを使用するNetWeaver Application Server ABAPアプリケーション | Medium / 5.4 |
| CVE-2026-89118 | 情報漏えい — NetWeaver Enterprise Portal | Medium / 5.3 |
| CVE-2026-89121 | 認可チェックの欠如 — S/4HANA Linear Asset Management RAP Business Object | Medium / 4.7 |
| CVE-2026-89106 | XSS — SAPUI5 | Medium / 4.4 |
| CVE-2026-89124 | 認可チェックの欠如 — Global Trade Services, edition for SAP HANA, Display Product Catalog Based on Customs Declaration | Medium / 4.3 |
| CVE-2026-89105 | 不適切な認証 — SAP/cloud-security-services-integration-libraryのHybridTokenAuthenticator | Medium / 4.2 |
| CVE-2026-58242 | 不適切な認可チェック — Cloud Connector | Low / 3.5 |
新たなマルウェアが登場したら、すぐに防御を更新しましょう。16K SOCのデータを活用したTIフィードを統合。
翻訳元: https://gbhackers.com/sap-patches-critical-netweaver-and-s-4hana-security-flaws/
