SAPは2026年11月のセキュリティアップデートで35件の脆弱性を修正しました。このなかには、NetWeaver、Web Dispatcher、Gatewayの各ソフトウェアに影響する、最高深刻度の脆弱性4件が含まれています。
SAPが修正したのは、NetWeaver Application Server ABAPのInternet Communication Manager（ICM）およびSAML2 Service Providerコンポーネントにあるメモリ破損の脆弱性（CVE-2026-76964）と、認証欠如の脆弱性（CVE-2026-120017）です。
NetWeaverは、SAPのビジネスソフトウェアを支える中核的なアプリケーションプラットフォームです。アプリケーション連携、認証、ユーザー管理、データ処理を担っています。
残る2件の最高深刻度の脆弱性は、SAP Gatewayにおけるアクセス制御の不備（CVE-2026-89103）と、SAP Web Dispatcherにおけるメモリ破損の問題（CVE-2026-89126）です。
Gatewayは、外部アプリケーションがSAPのバックエンドシステムに安全に接続できるようにする中核フレームワークです。一方のWeb Dispatcherは、ほぼすべての企業のSAP環境に導入されている専用コンポーネントで、SAPシステムのアーキテクチャに入ってくるWebリクエストに対し、ロードバランサーおよびリバースプロキシとして機能します。
セキュリティ企業のOnapsisは、これらのうち3件を発見して報告しました。同社はCVE-2026-76964とCVE-2026-89126をまとめてICM2SHELL、認証前にリモートコード実行が可能なCVE-2026-89103をPROXYGATEとして追跡しています。
Onapsisは次のように説明しています。「ICM2SHELLは、Webトラフィックの日常的な一部を、攻撃者の侵入口に変えてしまいます。（中略）その結果、本来ネットワークに面しているコンポーネントに対してリモートコード実行が可能になります。SAPユーザーもパスワードもユーザー操作も必要ありません」
「PROXYGATEは、認証されていない外部の攻撃者を、内部のアプリケーションサーバーの一つだとSAP Gatewayに誤認させる手口です。（中略）SAPユーザーもパスワードもユーザー操作も必要ないにもかかわらず、インストールを所有するアカウントとしてSAPシステムを完全に制御できてしまいます。本番環境のERPシステムでは、ビジネスデータや取引の整合性、重要な業務アプリケーションの可用性が直接危険にさらされることになります」
SAPはこれら4件の脆弱性にCVSS深刻度で10点満点中10点を付けています。認証されていない攻撃者がリモートから悪用し、対象システムを完全に侵害できると説明しています。
直近で修正された、ほかの最高深刻度のSAP脆弱性
今回の4件は、ここ数か月にSAPが複数のコンポーネントで修正してきた最高深刻度の脆弱性に続くものです。
たとえば8月には、クラウド型ECプラットフォームのCommerce CloudでCVE-2026-58231を修正しました。脅威インテリジェンス企業のDefusedは、パッチ公開の数日後に、この脆弱性が実際の攻撃で悪用されていると指摘しました。
さらに9月と10月にも、最高深刻度の脆弱性を2件修正しています。1件は、SAP Kernelのコードにあるメモリ破損の脆弱性（CVE-2026-44756）です。発見・報告したOnapsisの研究者は、この脆弱性をOVERPASSと名付けました。もう1件は、マルチテナントのBTPアプリケーションに影響するOAuth2のSSRF脆弱性（CVE-2026-89111）です。
米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、2021年11月以降、14件のSAPの脆弱性を悪用が確認されたものとして指定しています。そのうち3件は、ランサムウェアグループも実際の攻撃で悪用しました。
SAPはドイツの多国籍ソフトウェア企業で、2025会計年度の売上高は360億ユーロを超えました。世界の大手企業100社のうち99社を顧客としています。
