SAP、S/4HANAとNetWeaverの重大な脆弱性を修正

SAP製ソフトウェアの脆弱性により、正規のアクセス権を持つユーザーが、本来想定されている範囲をはるかに超えて企業システムを制御できてしまう恐れがあります。

SAPは10月13日のセキュリティアップデートで、S/4HANAのコードインジェクションの重大な脆弱性と、NetWeaverおよびWeb Dispatcherに影響する、深刻度「高」のメモリ破損の脆弱性をそれぞれ修正しました。

影響を受けるシステムを運用する組織にとって、リスクの大きさはソフトウェアの設定と、脆弱なコンポーネントにアクセスできるユーザーによって異なります。

業務ルールへの入力で不正なコードが実行される恐れ

CVSSスコア9.9の重大な脆弱性「CVE-2026-89107」は、S/4HANAの「Manage Substitution/Validation Rules」機能に影響します。 Onapsisによる10月のパッチ分析によると、入力値の検証が不十分なため、細工されたルール定義によって任意のABAPコードが実行される可能性があります。

悪用には、特定のSAP Fioriビジネスロールを持つ認証済みアカウントが必要です。そうした権限を持つ攻撃者は、影響を受けるシステムの完全な制御を奪える可能性があります。

脆弱なのはS4COREのバージョン105から109です。SAPはセキュリティノート3805589でこの脆弱性に対処しました。

メモリ破損により、認証なしでSAPサービスが停止する恐れ

別の脆弱性「CVE-2026-58249」は、NetWeaverとWeb Dispatcherが使用するInternet Communication Managerに影響します。CVSSスコアは7.5で、ネットワークリクエストの検証が不適切なためにメモリエラーが発生し、影響を受けるプロセスがクラッシュする可能性があります。

攻撃者に有効なログイン情報は必要ありません。ただし、対象の環境がHTTP/2に対応しており、このプロトコルが有効になっている必要があります。この結果として起きる サービス拒否攻撃により、従業員が日常業務で利用するSAPアプリケーションにアクセスできなくなる恐れがあります。

10月のセキュリティ情報では、影響を受けるカーネルおよびWeb Dispatcherのコンポーネントに加え、SAP Content Serverや一部のHANAアプリケーションサービスも対象として挙げられています。修正方法はセキュリティノート3765424に記載されています。

S/4HANA、NetWeaver、Web Dispatcherの環境を管理している場合、CVSSスコアが最も高いシステムから自動的に修正すればよいわけではありません。効果的な脆弱性の優先順位付けでは、攻撃者がそのサービスに到達できるか、障害が起きた場合の業務への影響がどれほど大きいかも考慮します。

SAP Basis管理者と企業のセキュリティチームは、次のいくつかの確認事項を軸に対応を調整するとよいでしょう。

• 影響を受けるインストール環境を特定する。導入済みのS4COREのリリースと、インターネットに公開されている関連コンポーネントをセキュリティノートと照合します。該当する場合は連携サービスも含め、メンテナンスを計画する前に、実際に更新が必要なシステムを把握します。
• 業務ルールの権限を見直す。代替ルールや検証ルールを管理する権限を持つアカウントを洗い出し、最近の変更内容に不審な点がないか調べ、不要な権限を削除します。既存の 特権アクセス制御では、機密性の高いアプリケーションレベルのロールも考慮する必要があります。
• HTTP/2の公開状況を確認する。影響を受けるサービスのうち、信頼できないネットワークからの接続を受け付けているものを特定します。修正の準備を進める間は不要なアクセスを制限します。特に、アプリケーションの停止が重要な業務に支障をきたす場合は重要です。
• 回避策とパッチのテストを調整する。Onapsisによると、該当するODataサービスを無効化すれば、S/4HANAの脆弱性に対する一時的な回避策になります。ただし、関連するFioriアプリケーションを通じた代替ルールや検証ルールの追加・変更・削除が、正規ユーザーにもできなくなります。業務への影響をアプリケーションの担当者と確認したうえで、展開前後のテストを含む パッチ管理プロセスに従ってください。

すぐに更新できないシステムには、責任者の割り当て、一時的な保護策の文書化、フォローアップの予定が必要です。これらの判断を先送りにすると、セキュリティ修正が提供された後も、リスクにさらされる期間が長引く恐れがあります。

その他のサイバーセキュリティニュース：SAP Cloud SDKのユーザーは認証情報漏えいのリスクに直面しており、重大な脆弱性への対応には通常のパッチ確認以上の作業が必要になる可能性があります。