SAPが9月パッチデーで19件の新規ノートを公開 — CVSS 10.0のメモリ破壊CVE-2026-44756など基盤の重大脆弱性を修正

SAPは2026年9月8日、月例の「セキュリティパッチデー」で19件の新規セキュリティノートと1件の更新を公開した。同社が同日公開したサポートポータルの告知「SAP Security Patch Day – September 2026」によると、今回のリリースはSAPの基盤カーネルやNetWeaver、クラウド開発ライブラリなど広範囲に及ぶ。同社は顧客に対し、サポートポータルでパッチを優先的に適用するよう強く推奨している。日本国内でも多くの大企業がSAPの基幹システムを利用しており、影響の有無を早急に照合する必要がある。

最も深刻な3件 — CVSS 10.0と9.8が基盤を直撃

今回最も深刻度が高い脆弱性は、CVE-2026-44756だ。CVSS基本スコアは10.0（最高値）で、優先度はSAPが定める最上位の「Critical」に分類されている。

• CVE-2026-44756 — Extended Passport（EPP）処理のメモリ破壊

  • 対象: SAP Extended Passport処理
  • 影響バージョン: KRNL64NUC 7.22 / KRNL64UC 7.22〜8.04 / WEBDISP 9.16〜9.20 / KERNEL 7.22〜9.20など
  • 概要: 細工したExtended Passportプロトコルヘッダーを含むネットワーク要求を送信することでメモリ破壊が発生し、サービス停止や未定義の動作を引き起こす。認証なしでの悪用が想定される。
  • 対応ノート: 3747649

• CVE-2026-58240 — NetWeaver Message Serverの認証欠如

  • 対象: SAP NetWeaver Message Server
  • 影響バージョン: KERNEL 9.16〜9.20
  • 概要: メッセージサーバーが内部コンポーネントの真正性を十分に検証しないため、遠隔の攻撃者が不正なコンポーネントを登録でき、環境内部での不正操作につながる恐れがある。CVSS 9.8。
  • 対応ノート: 3759472

• CVE-2026-76969 — Cloud Application Programming Modelの認証情報漏えい

  • 対象: SAP Cloud Application Programmingライブラリ sap/cds-mtxs（マルチテナント）
  • 影響バージョン: 1.18.3以前、2.7.6以前、3.9.6以前、4.0.2以前
  • 概要: 細工した要求により認証情報が漏えいする。CVSS 9.4。
  • 対応ノート: 3798315

このほか、SAP GUI for Javaのアクセス制御不備CVE-2026-66768（CVSS 9.0、ノート3781729）も「Critical」に分類されている。

基盤以外でも広範な修正 — S/4HANA、Commerce Cloud、統合基盤

今回のパッチは基盤カーネルにとどまらず、周辺製品の脆弱性も修正する。

• SAP S/4HANA（Intercompany Matching and Reconciliation）のSQLインジェクション CVE-2026-44766（CVSS 6.5、ノート3756450）
• SAP Commerce Cloud（Search And Navigation）のCLRFインジェクション CVE-2026-2332（CVSS 7.4、ノート3791068）— Jettyコンポーネントの利用に起因
• SAP Integration SuiteのXXE CVE-2026-76958（CVSS 8.5、ノート3792978）
• SAP Manufacturing Integration and IntelligenceのSSRF CVE-2026-76971（CVSS 6.5、ノート3786489）
• S/4HANA Finance for Advanced Payment ManagementのCSRF 3件（CVE-2026-76960/76961/76959、ノート3365276など）

また、2026年8月に公開済みの「SAP ABAP Developer Toolsの権限昇格」CVE-2026-58243（ノート3772411）は今回更新が提供され、対象のSAP_BASIS 750〜920が追加で明記された。

SAPによると、今回の19件の新規ノートはいずれも現時点（9月8日）で「実地での悪用の報告や公開された実証コード（PoC）は確認されていない」としている。ただしCVSSが9.0以上の脆弱性が4件含まれることから、同社はパッチの速やかな適用を呼びかけている。

影響確認と推奨される対応

SAPは詳細な影響バージョンを各ノートで公開している。日本企業の基幹システムでは、KERNEL 7.22〜9.20やWEBDISP 9.16〜9.20といった長期運用されているカーネルバージョンが依然として広く稼働しており、Extended PassportやMessage Serverの脆弱性は基盤全体に影響が及ぶ可能性がある。

SAPがサポートポータルで推奨する対応は次のとおりだ。

• サポートポータル（me.sap.com）で該当するセキュリティノートを開き、推奨される修正プログラムまたはパッチを適用する
• SAPが公開する「セキュリティ推奨をまとめたドキュメント」を参照し、セキュアな構成を確認する
• 適用後は、不審なコンポーネント登録や認証情報の不審な利用がないかログを点検する

基幹システムは企業の財務・人事・サプライチェーンなど機微なデータを集約する。SAP自身が「信頼できる製品とクラウドサービスの提供に取り組む」と述べるとおり、今回の基盤レベルの修正は、業務停止や情報漏えいを未然に防ぐために優先度が高い。管理者はまず、自環境のKERNELやWEBDISP、S/4HANAのバージョンを各ノートの対象表と照合し、保守計画にパッチ適用を組み込むことが求められる。

出典

• SAP Security Patch Day – September 2026 — SAP Support Portal（2026年9月8日）