SAPは2026年11月のセキュリティパッチデーで、NetWeaver Application Server ABAPスタック、SAP Web Dispatcher、SAP Gatewayに存在するCVSSスコア10.0の脆弱性4件を修正しました。
4件はいずれもネットワーク経由で到達可能で、認証が不要です。また、スコープが変更される（Changed Scope）特性を持ちます。この組み合わせにより、攻撃者は侵害したコンポーネントにとどまらず、接続された他のシステムにも被害を広げることができます。
1件目のCVE-2026-76964（SAP Note 3778530）は、NetWeaver AS ABAPのInternet Communication Manager（ICM）に存在するメモリ破損の欠陥です。
ICMはネットワークからの入力を十分に検証しないため、認証されていない攻撃者が細工したトラフィックを送り付けることでメモリを破損させ、任意のコードを実行できます。
CVEレコードでは、この脆弱性をCWE-1287（指定された型の入力に対する不適切な検証）に分類しています。影響を受けるのは、KRNL64UC 7.53と、7.53から9.20までのKERNELビルドです。
CVE-2026-89126（SAP Note 3778556）は、SAP Web Dispatcherに同様の影響を及ぼします。根本原因はCWE-122（ヒープベースのバッファオーバーフロー）です。
影響を受けるコンポーネントには、HDB 2.00、7.53から9.16までのWEBDISP、SAP_EXTENDED_APP_SERVICES 1が含まれます。Web Dispatcherは通常、リバースプロキシとしてネットワークの境界に置かれているため、この脆弱性はインターネットから最も到達しやすい可能性があります。
SAPは過去のサイクルでも、2026年7月のパッチデーでNetWeaverカーネルの重大なメモリ破損の脆弱性を修正しており、この種のカーネルの欠陥は繰り返し発生しています。
CVE-2026-89103（SAP Note 3798345）は、SAP Gatewayに存在するアクセス制御の不備で、CWE-863（不適切な認可）に分類されます。Gatewayでは、高い権限を持つデフォルトのアクセス制御リスト（ACL）が有効になっています。
そのため、外部の攻撃者が内部のアプリケーションサーバになりすまして不正な操作を実行でき、機密性、完全性、可用性のすべてに全面的な影響が及びます。影響の大きさは、9月に修正された最大深刻度のExtended Passportメモリ破損の脆弱性に似ています。
4件目のCVE-2026-120017（SAP Note 3849308）は、NetWeaver AS ABAPおよびABAP PlatformのSAML2 Service Providerにおける認証欠如の脆弱性です。
この脆弱性はCWE-347（暗号署名の不適切な検証）に分類されます。特定の構成では、システムが受信した認証アサーションを十分に検証しません。
攻撃者は細工したデータを送信することで認証を回避し、特権アカウントを含む任意のユーザーになりすませます。影響を受けるのは、SAP_BASISのリリース702から922までです。
SAMLにおける署名検証の不備はよく知られたパターンで、SAML認証バイパスの手法は、これまでにも他の企業向けプラットフォームに被害をもたらしてきました。
CVSSスコア10.0の4件に加え、9.9のCritical（緊急）の脆弱性も3件あります。Knowledge Management XML Formsにおけるコードインジェクション、ABAP Application ServerにおけるOSコマンドインジェクション、S4CRMにおける認可チェックの欠如です。
このほか、CSRFの脆弱性（9.6）とBusinessObjectsのXXEの脆弱性（9.1）もCriticalに分類されています。今回のリリースには、SAP Cloud SDK for Python、SAP Cloud SDK for AI（JavaScript）、SAP/astonishに対するHigh（重要）の脆弱性の修正も含まれます。
管理者は、各SAP Noteに記載されたカーネルおよびSAP_BASISの修正を適用してください。まずは、インターネットに公開されているWeb DispatcherとICMのインスタンスから着手する必要があります。
パッチの適用を待たなければならない場合は、Gateway、メッセージサーバ、ICMの各ポートへのアクセスを、信頼できるセグメントに限定してください。あわせて、GatewayのACLファイル（reginfoとsecinfo）を見直し、SAML2サービスプロバイダの設定を監査し、ワークプロセスの異常なクラッシュを監視することも重要です。
ANY.RUNを導入している16,000以上のSOCチームに加わり、脅威調査を効率化して手作業を減らしませんか。チームで試してみる
翻訳元: https://cyberpress.org/sap-severity-vulnerabilities-netweaver-web-dispatcher/
