SAPが最大深刻度「CVSS 10.0」のカーネル脆弱性を修正、認証不要で管理者権限のコード実行が可能に

要点

• SAPは、共通脆弱性評価システムで最高値となる「CVSS 10.0」を含む複数の深刻な脆弱性に対処するセキュリティ更新プログラムを公開した。

• 最大の欠陥「OVERPASS」はカーネルのデータ処理に起因し、認証なしで遠隔からSAPホスト上のOSコマンドを実行される恐れがある。

• S/4HANA環境などに影響し、全アプリサーバーでコード実行が可能な「S4GET」（CVSS 9.8）など、複数の重大な欠陥も併せて修正された。

• 発見元のOnapsisによると現時点で悪用は確認されていないが、影響の大きさから早急なシステム把握とパッチ適用が推奨されている。

• SAPは2026年9月、同社製品群に存在する複数の重大な脆弱性を修正するセキュリティ更新プログラムを公開した。セキュリティ企業のOnapsisが発見・報告したもので、共通脆弱性評価システム（CVSS）のスコアで最大値となる「10.0」と評価された極めて深刻なカーネルの欠陥をはじめ、複数の問題に対処している。

最大深刻度「10.0」の脆弱性「OVERPASS」

修正された脆弱性のうち最も深刻度が高いのは、Onapsisが「OVERPASS」と命名した「CVE-2026-44756」（CVSSスコア：10.0）だ。この欠陥は、SAPカーネルが処理する拡張パスポート（EPP：システム間の通信でコンテキスト情報を受け渡すデータ構造）の処理部分に存在するメモリ破壊の脆弱性である。

原因は、EPPデータをデシリアライズ（保存・転送されたデータを元の構造に復元する処理）する際に境界値の検証が欠落していることにある。外部から入力された長さフィールドを処理する過程でメモリ安全性違反が発生するため、認証を受けていない攻撃者であっても、不正なEPPヘッダーを含んだ細工済みリクエストを送信することで予期せぬ動作や異常終了を引き起こせる。

OnapsisのCTOであるJP・ペレス＝エチェゴエン氏は、「細工されたリクエストにより受信プロセスが乗っ取られ、ホスト上でOSコマンドを実行できるようになる」と説明している。攻撃者は認証を経ることなく遠隔からSAP管理者権限でOSコマンドを実行できる状態になり、基幹業務データやプロセス全体が完全に侵害される危険性があるという。

プロトコル横断で到達可能、既存のアクセス制御は無効

OVERPASSが極めて危険視される理由は、その到達経路の広さにある。EPPの処理コードはカーネル内で複数の通信プロトコルによって共有されているため、インターネットに面したWeb層だけでなく、全エンドユーザーが接続するSAP GUI層、さらにはSAPシステム間を接続するRFC（Remote Function Call）層からも到達可能となっている。複数のコンポーネントやプロトコルから認証なしでアクセスできるため、単一のネットワーク制御やファイアウォールだけでリスクを遮断することはできない。

攻撃が成功した場合、SAPのセキュアストア（認証情報などを安全に保管する領域）が読み取られ、データベースの資格情報やパスワードハッシュ、保管されている全業務データが復元される恐れがある。さらに、ログイン中ユーザーのセッションデータの閲覧や、取得した資格情報を用いた他のSAPシステムへのラテラルムーブメント（組織内ネットワークでの横展開）、アプリケーションデータやシステム設定、SAPバイナリの改ざんが可能になる。

ペレス＝エチェゴエン氏によると、脆弱なコードはあらゆる認証処理の手前で動作するため、SAP内のユーザー権限設定や職務分掌（SoD：不正防止のため権限を分離する統制）を行っていても、この攻撃経路を防ぐ効果はないという。

S/4HANAに影響する「S4GET」など、複数のクリティカルな欠陥も修正

今回のアップデートでは、OVERPASS以外にも複数の深刻な欠陥が修正された。

2つ目の重大な脆弱性は、コードネーム「S4GET」と呼ばれる「CVE-2026-58240」（CVSSスコア：9.8）だ。SAP NetWeaver Message Serverにおける認証チェックの欠落に起因し、ネットワークアクセスを持つ未認証の攻撃者による不正操作を許してしまう。

Onapsisのセキュリティ研究者パブロ・'パルトゥ'・アグスティン・アルツソ氏によると、S4GETは設定ミスではなくロジックの欠陥であり、SAP S/4HANAやSAP S/4HANA Cloud Private Editionなどが稼働する「9.xカーネルライン」に存在する。SAP GUIクライアントが接続する公開ポートと同じポートを介してトリガーされるため、エンドユーザーのログインを維持したままポートを遮断することはできない。認証情報や証明書なしで、クラスタ内の全アプリケーションサーバー上でSAPのOS実行ユーザー「<sid>adm」の権限による完全なリモートコード実行が可能になるという。

このほか、以下の2件の重大な脆弱性も修正されている。

• CVE-2026-76969（CVSSスコア：9.4）：SAP Cloud Application Programming Model（CAP）を用いたマルチテナント（複数組織で環境を共有する方式）アプリにおける認証情報漏洩の欠陥。細工されたリクエストにより認証情報を取得され、テナントデータの改ざんや削除が行われる恐れがある。
• CVE-2026-66768（CVSSスコア：9.0）：SAP NetWeaver SAP GUI for Javaにおける不適切なアクセス制御の脆弱性。基盤ホスト上での任意コマンド実行が可能となる。

悪用状況と推奨される対応

Onapsisによると、現時点でこれら脆弱性を突いた実際の攻撃や悪用は確認されていない。しかし欠陥の深刻度が高いため、早急な対応が求められている。

同社は対策として、全SAPシステムの棚卸しを実施し、内部環境に先駆けてインターネット公開システムへ優先的にパッチを適用すること、露出を可能な限り低減すること、そして悪用の試行を監視することを推奨している。

ペレス＝エチェゴエン氏は、「パッチ適用を進める間も悪用試行を検知・調査できるよう、SAPアプリケーション層の可視性を確保してほしい」と呼びかけている。