OWN NEWS GATHER
← 戻る
The Hacker News

SAPが7月のセキュリティ更新を公開、データ改ざんの恐れがある最大深刻度9.9のNetWeaver脆弱性などに対処

要点

  • SAPは2026年7月のセキュリティ更新で、NetWeaver ABAPの深刻度9.9の脆弱性を含む複数の欠陥を修正。

  • 最大の脆弱性（CVE-2026-44747）はメモリ破損を招き、データの不正閲覧や改ざん、システム停止を引き起こす。

  • SAP Approuterの脆弱性（CVE-2026-27690）は、リクエスト・スマグリングによる情報漏洩やDoS攻撃の恐れがある。

  • SAP Commerce Cloudの脆弱性（CVE-2026-44761）は、公式のサンプル設定由来のデフォルト資格情報が本番に残ることが原因。

  • 実際の悪用は未確認だが、速やかな修正パッチの適用や本番環境の設定監査が強く推奨されている。

  • ドイツのソフトウェア大手SAPは2026年7月14日、製品の重大な脆弱性に対処する月例セキュリティ更新を公開した。この中には、基幹システムの構築に使われる「SAP NetWeaver Application Server ABAP（SAPのシステム構築や運用に使われるサーバー環境）」に存在する、共通脆弱性評価システム（CVSS）のベーススコアで「9.9」という極めて高い深刻度を記録した脆弱性が含まれる。放置された場合、攻撃者によるデータの窃取や改ざん、システム停止といった深刻な被害をもたらす危険性がある。

NetWeaver ABAPを脅かす「CVSS 9.9」のメモリ破損脆弱性

今回の更新で最も優先度が高い脆弱性が、SAP NetWeaver Application Server ABAPの「CVE-2026-44747」である。危険度を10点満点で評価する業界標準の指標「CVSS」で「9.9」という極めて高い評価が下されている。

原因は「アウトオブバウンズ書き込み（確保されたメモリ領域の外側にデータを書き込んでしまうエラー）」にある。認証された攻撃者がメモリ管理の論理エラーを悪用することでメモリ破損を引き起こし、機密データの閲覧や改ざん、システムの強制終了が可能になる。

セキュリティ企業のOnapsis社によれば、一時回避策として、特定の通信設定を無効化する手順が提示されている。しかし、この回避策を適用するとWebブラウザ経由でシステムを操作する「SAP GUI for HTML」が機能しなくなる。実務への影響が大きいため、Onapsis社は回避策ではなく、脆弱性が修正された最新の「ABAP Kernel（システム制御の根幹）」バージョンを早期にインストールすることを推奨している。

ApprouterとCommerce Cloudで修正された「CVSS 9.1」の脅威

SAPは、他にも深刻度「CVSS 9.1」の重大な脆弱性2件に対処した。

一つ目は、特定のクラウド環境に依存しない非Cloud Foundry環境（クラウドプラットフォームの標準的な動作環境）の「SAP Approuter」に存在する「CVE-2026-27690」である。未認証の攻撃者が細工したリクエストを送ることで、サーバー間での通信の解釈のずれを突く「HTTPリクエスト/レスポンス・スマグリング攻撃」を実行できる。これによりリクエストとレスポンスの同期が崩れ、他ユーザーの応答データが露出したり、サービス拒否（DoS）状態に陥ったりする。

二つ目は、「SAP Commerce Cloud」におけるデフォルト資格情報に関する脆弱性「CVE-2026-44761」である。これは、公式ドキュメントでかつて公開されていた開発・テスト用のサンプル設定スクリプトが原因だ。このスクリプトには公開済みのOAuth 2.0（アクセス権限の受け渡しを安全に行う仕組み）の資格情報が含まれていたが、本番環境への取り込みを防ぐ警告が古いドキュメントになかったため、そのまま本番環境に残されてしまうケースがあったという。

この設定が放置されていると、未認証 of 攻撃者が公開資格情報を用いてアクセストークン（一時的なアクセス許可証）を取得し、API（プログラム同士を連携させるインターフェース）を介してデータの読み書きを行えてしまう。なお、システム停止などの影響はない。

影響範囲と推奨される対策

Onapsis社によると、Commerce Cloudの脆弱性は、問題のサンプルスクリプトを実行し、作成されたクライアント設定を本番環境に残したままにしている場合にのみ影響を受ける。すでにサンプル設定を削除しているか、シークレットを独自の強力な値に変更している顧客は影響を受けない。運用企業は本番環境を監査し、不審なサンプル設定が存在する場合は速やかに削除する必要がある。

今回修正された脆弱性について、実際のサイバー攻撃に悪用された証拠はまだ見つかっていない。しかし、被害を未然に防ぐためにも、SAPやセキュリティ機関は最新パッチの早期適用を強く呼びかけている。

元URL