SAP、NetWeaverとS/4HANAの重大な脆弱性を修正

企業向けソフトウェア大手のSAPは火曜日、新規および更新されたセキュリティノート22件を公開したと発表しました。このうち4件は、重大度「クリティカル」の脆弱性に対処するものです。

最も深刻なのは、CVE-2026-89111（CVSSスコア10/10）です。Cloud SDK for Pythonに存在するOAuth2のSSRF脆弱性で、マルチテナントのBTPアプリケーションに影響します。

SAPはGitHubのアドバイザリーで、「tenant_subdomainパラメーターを制御できる攻撃者は、OAuth2トークンのリクエストを攻撃者が管理するサーバーにリダイレクトし、クライアント認証情報を窃取できます」と説明しています。

次に深刻なのがCVE-2026-89110（CVSSスコア9.9/10）です。NetWeaverのアクセス制御の不備で、認証済みの攻撃者がシステム上で任意のABAPコードを実行できる恐れがあります。

この欠陥は、ルール定義の処理で入力値が適切に検証されないために生じます。Fiori Applicationsで特定のビジネスロールを持つ攻撃者が、細工した入力を送信できてしまいます。

攻略に成功すれば、攻撃者は脆弱なシステムを乗っ取れる可能性があると、企業向けアプリケーションセキュリティ企業のOnapsisは説明しています。

SAPの2026年10月のセキュリティパッチデーで修正された3件目のクリティカルな脆弱性は、CVE-2026-89107（CVSSスコア9.9/10）です。S/4HANAのコードインジェクションの問題です。

Onapsisによると、この欠陥はVisual Composerの特定の機能に影響します。「低い権限しか持たない攻撃者が、事前に設定されたリモートシステム上で内部操作を呼び出し」、そのシステムを完全に侵害できる恐れがあるといいます。

4件目のクリティカルな脆弱性はCVE-2026-89108（CVSSスコア9.1/10）です。Manufacturing Integration and Intelligenceで認可チェックが欠落しており、XMII Admin権限を持つ攻撃者が、基盤となるJavaアプリケーションサーバー上に管理者アカウントを作成し、システムを完全に侵害できる可能性があります。

SAPは火曜日、Commerce Cloud、NetWeaver、ABAP Platformに存在する重要度「高」の欠陥も修正しました。これらは、任意のSQLコマンドの挿入、プロセスのクラッシュ、制限の回避につながる恐れがあります。

SAPは、今回修正されたセキュリティ上の欠陥が悪用されている事例には触れていません。ユーザーには、できるだけ早くアプリケーションを更新するよう推奨されています。