SAPは、2026年10月のセキュリティパッチデーに、新規および更新のセキュリティノート22件を公開した。その中には、Cloud SDK for Python、NetWeaver Visual Composer、S/4HANA、Manufacturing Integration and Intelligenceに分類された4件の重大な脆弱性が含まれている。同社は、これらの欠陥が実際の攻撃で悪用されたことについては言及していないが、ユーザーに対し、可能な限り早急にアプリケーションを更新するよう推奨した。
完全な侵害につながる可能性のある脆弱性
最も深刻度の高い脆弱性にはCVE-2026-89111という識別子が付与されており、CVSSスコアは10点満点で10となっている。これはCloud SDK for PythonにおけるOAuth2に関連するSSRF脆弱性で、マルチテナントのBTPアプリケーションに影響する。GitHubで公開されたSAPの説明によると、tenant_subdomainパラメーターを制御できる攻撃者は、OAuth2トークンのリクエストを自身が制御するサーバーへリダイレクトでき、顧客の認証情報が漏えいする可能性がある。
CVE-2026-89110のスコアは10点満点で9.9で、NetWeaver Visual Composerの特定の機能におけるアクセス制御の不備に関連している。エンタープライズアプリケーションセキュリティ企業のOnapsisは、低い権限しか持たない攻撃者が、事前に構成されたリモートシステム上で内部処理を呼び出せる可能性があり、最終的にシステムを完全に制御される事態につながるおそれがあると述べた。
SAPは、S/4HANAのCVE-2026-89107も修正した。スコアは10点満点で9.9である。この欠陥により、特定の条件下では、Fioriアプリケーションで特定の業務ロールを持つ認証済み攻撃者が、細工した入力を送信して任意のABAPコードを実行できる。欠陥の原因は、ルール定義プロセス中に入力が適切に検証されていないことにある。
CVE-2026-89108のスコアは10点満点で9.1で、Manufacturing Integration and Intelligenceにおける認可チェックの欠如に起因する。XMII Admin権限を持つ攻撃者は、基盤となるJavaアプリケーションサーバー上に管理者アカウントを作成でき、システム全体を侵害できる可能性がある。
実際には何が変わるのか
今回の更新には、OAuth2リクエストによる認証情報の漏えい、アクセス制御の回避、ABAPコードのインジェクション、管理者アカウントの作成という、さまざまなリスクが含まれている。そのため、影響は単一のコンポーネントにとどまらず、製品、設定、攻撃者が利用できるロールによっては、企業のSAPシステムやそれに依存する業務にまで及ぶ可能性がある。
SAPは、Commerce Cloud、NetWeaver、ABAP Platformにおける重大度の高い脆弱性も修正した。これらの脆弱性が悪用された場合、任意のSQLコマンドのインジェクション、プロセスの停止、またはセキュリティ制限の回避が可能になるおそれがあった。情報源は、影響を受ける製品のバージョンや個別の更新期限を明らかにしておらず、公開時点までに脆弱性が活発に悪用されていることも証明していない。
ユーザーが確認すべき事項
SAPの管理チームは、2026年10月のSAPセキュリティノートを確認し、実際に導入されているコンポーネントを特定したうえで、承認済みの変更手順に従って適切な更新を適用すべきである。また、今回の脆弱性を踏まえ、特にFioriおよびXMIIに関連するロールの権限を見直し、マルチテナントアプリケーションの設定を確認する必要がある。なお、対処の優先度は各環境の曝露状況によって異なる。情報源は、すべての導入環境が同じ方法で悪用可能であるとは述べていない。