SAPがCommerce Cloudなどの深刻な脆弱性に対処、最大評価「CVSS 10.0」の修正パッチを公開
要点
- SAPは2026年8月のセキュリティアップデートを公開し、SAP Commerce Cloudなどに存在する極めて深刻な脆弱性を修正した。
- 最大深刻度であるCVSSスコア10.0と評価された「CVE-2026-58231」では、未認証の攻撃者によって任意のコードが実行される恐れがある。
- 問題はData Hub Adapterにおける認可チェックや入力検証の不備に起因しており、修正版の適用と再デプロイが推奨されている。
- 同アップデートでは、製造連携システムやABAPプラットフォームにおけるCVSS 9点台の重大な脆弱性3件もあわせて対処された。
ドイツのソフトウェア大手SAPは2026年8月、同社のEコマースソリューション「SAP Commerce Cloud」などに存在する深刻なセキュリティ脆弱性に対処する修正パッチを公開した。
今回修正された脆弱性のうち、最も危険度が高い「CVE-2026-58231」は、共通脆弱性評価システム（CVSS）のスコアで最高値となる「10.0」と判定されている。認証を受けていない攻撃者が遠隔からシステムを不正に操作し、任意のコードを実行できる可能性があることが明らかになった。
最大深刻度「CVSS 10.0」のCommerce Cloud脆弱性
公開された脆弱性情報によると、CVE-2026-58231はSAP Commerce Cloudのデータ連携機能である「Data Hub Adapter」に影響を及ぼす。この問題は、適切な認可チェックの欠如と、入力データの検証が不十分であることに起因しているという。
CVE.orgに掲載された説明では、認証されていない攻撃者がデフォルトの認証クライアントを悪用し、検証処理が不足している特定の機能に対して細工したデータを送信できる状態になっていたとされる。この攻撃が成功した場合、任意のコード実行が可能となり、内部コンポーネントが侵害されることで、アプリケーションの機密性、完全性、可用性のすべてに重大な影響が及ぶと説明されている。
SAP関連のセキュリティ対策を手がけるOnapsis社は、ユーザーに対して修正済みのCommerce Cloudリリースを適用し、更新されたバージョンを再デプロイ（再配置・展開）するよう求めている。また、パッチを適用するまでの暫定的な緩和策として、IP Filter Set（IPアドレスによるアクセス制御設定）を構成し、脆弱なエンドポイントへの接続を制限することで露出を低減できるとしている。
製造連携システム「MII」に見つかった2件のコードインジェクション
SAPの2026年8月のセキュリティ更新では、Commerce CloudのほかにもCVSSスコアが9点を超える重大な脆弱性3件への対処が含まれている。そのうち2件は、製造業向けの連携システムである「SAP Manufacturing Integration and Intelligence（MII）」に存在するコードインジェクション（不正なプログラムコードを注入・実行させる欠陥）に関するものだ。
1件目の「CVE-2026-44772」（CVSSスコア：9.9）は、低い権限しか持たない攻撃者であっても悪用が可能な脆弱性だ。攻撃者が細工した入力を送信することで、外部ソースから攻撃者が制御するコンテンツを取得・処理させ、最終的にサーバー上で任意のOSコマンドを実行させることができるという。
Onapsis社によると、このパッチを適用した環境では、XML変換に使われるスタイルシート「XSLファイル」をホストできる許可済みホスト一覧を定義した新しいシステムプロパティ「Secure Transformer」を管理・維持する必要がある。これにより、許可されたホストからのXSLファイルのみが処理対象となる仕様に変更される。
もう1件の「CVE-2026-44758」（CVSSスコア：9.1）は、高い権限を持つ攻撃者が基盤となるオペレーティングシステム上で任意のコマンドを実行できる脆弱性である。この欠陥は、サーバー側でテンプレート構文を不正実行させるSSTI（サーバーサイドテンプレートインジェクション）や、内部ネットワーク宛てのリクエストを偽造させるSSRF（サーバーサイドリクエストフォージェリ）の影響を受けやすいサーブレットコンポーネントに起因していた。SAPが公開したパッチでは、該当する脆弱なサーブレットコンポーネント自体を削除することで根本的な問題が解決されている。
ABAP基盤におけるメモリ破壊の欠陥も修正
今回のアップデートでは、SAP NetWeaverおよびABAP Platform向けの「Application Server ABAP」に存在する脆弱性「CVE-2026-34265」（CVSSスコア：9.8）も修正された。
この脆弱性は、プログラムが割り当てられたメモリ領域外へデータを書き込んでしまう境界外書き込み（Out-of-bounds write）に分類されている。未認証の攻撃者がDIAGプロトコルのパース（データ解析）処理における論理エラーを悪用することで、メモリ破壊を引き起こすことが可能だという。この欠陥が悪用された場合、システム内部の機密情報が漏洩したり、システム全体がクラッシュして停止したりする危険性があると報告されている。