SAP、NetWeaver・S/4HANAにCVSS 9.9の重大脆弱性―2026年10月パッチデーで計4件のCriticalを修正

SAPは2026年10月13日、月例の「SAP Security Patch Day」で新規セキュリティノート16件、GitHubセキュリティアドバイザリ4件、既存ノートの更新2件を公開しました。計22件の公開・更新情報のうち、4件が「Critical（重大）」に分類されています。

最高評価の「CVE-2026-89111」（CVSS 10.0）は、SAP Cloud SDK for Pythonに存在するOAuth2関連のサーバーサイドリクエストフォージェリ（SSRF）です。条件がそろうと、アプリケーションがOAuth2トークン取得に使うクライアント認証情報を攻撃者のサーバーへ送信させられるおそれがあります。このほか、SAP NetWeaver Visual Composer、SAP S/4HANA、SAP Manufacturing Integration and Intelligence（MII）にも、権限を持つユーザーから悪用可能な重大な問題が修正対象となっています。

SAPの2026年10月セキュリティ更新のサマリー

• 公表日：2026年10月13日
• 公開・更新：新規SAP Security Note 16件、GitHubアドバイザリ4件、既存ノート更新2件
• Critical：CVE-2026-89111（10.0）、CVE-2026-89110（9.9）、CVE-2026-89107（9.9）、CVE-2026-89108（9.1）
• 対象：Python開発ライブラリ、NetWeaver Visual Composer、S/4HANAのルール管理、製造系システムMIIなど
• 最優先の修正例：Cloud SDK for Pythonは0.45.2へ更新。ほか3件は対応するSAP Security Noteに従い修正
• CVSSが同じ重大度でも悪用の前提は異なり、認証不要のものと、既存の低権限または管理者権限が必要なものがある
• 10月14日時点で、SAPの月例告知はこれら4件の実攻撃での悪用を明示していない。CISAのKEVカタログ（10月13日版）にも4件の登録はない

CVSS 10.0のCVE-2026-89111、OAuth2クライアント認証情報が外部に送信されるおそれ

CVE-2026-89111は、SAP BTPなどで利用するPythonライブラリ「SAP Cloud SDK for Python」の、マルチテナントアプリケーションに関係する脆弱性です。SAPがGitHubで公開したアドバイザリによると、攻撃者がtenant_subdomainパラメータを制御できる場合、OAuth2トークン要求の送信先を攻撃者の用意したサーバーへ変更でき、クライアント認証情報を窃取される可能性があります。

CVSS v3.1の基本評価値は10.0で、ネットワーク経由・認証不要・利用者の操作不要という評価です。一方、SAPが公表したCVSSベクトルでは、機密性と完全性への影響を「高」、可用性への影響を「なし」としています。点数だけからシステム停止やOS上での任意コード実行が直ちに可能と断定するものではありません。

修正版は0.45.2です。SAPは同版で、tenant_subdomainの値をRFC 1123のDNSラベル規則に照らして検証するよう変更しました。すぐに更新できない場合は、SDKに渡すテナントのサブドメインを、自社で許可した登録済みテナントの許可リストと照合する回避策を示しています。修正版への更新後も、外部入力から当該値を設定するアプリケーションでは入力経路を点検します。

NetWeaver Visual ComposerとS/4HANAにもCVSS 9.9の脆弱性

NetWeaver Visual Composer：接続先システムにも影響するアクセス制御の不備

CVE-2026-89110は、SAP NetWeaver Visual Composer（VC70RUNTIME 7.50）の一部ポータル機能で認可が十分に確認されない問題です。SAPがCVEに登録した説明によると、低権限の攻撃者が、あらかじめ設定されたリモート接続先の内部処理を呼び出せる可能性があります。接続設定によっては、接続先システム全体の侵害につながるおそれがあります。

「認証不要」の脆弱性ではありません。対象環境ではVisual Composerの使用有無に加え、接続先の権限と公開範囲を確認し、SAP Note 3797111の修正と必要な設定変更を適用してください。

S/4HANA：仕訳等に使う代入・検証ルールの処理にコードインジェクション

CVE-2026-89107は、SAP S/4HANAの「Manage Substitution/Validation Rules」に関する問題で、S4CORE 105～109が対象です。SAPのCVE情報によると、専用のスクリプト形式を扱うルール定義機能で入力の検証が不十分なため、特定の業務権限を持つ認証済みユーザーが任意のABAPコードを実行できるおそれがあります。

この機能は、会計伝票の入力内容を条件に応じて置換・検証する業務でも使われます。ただし、今回実際に仕訳データが改ざんされたと公表されたわけではありません。対象コンポーネントの有無と修正適用状況は、SAP Note 3805589で確認します。

製造系MIIでは管理者権限からJavaサーバーの権限へ拡大する可能性

CVE-2026-89108は、SAP Manufacturing Integration and Intelligence（MII）のConfiguration Serviceにおける認可確認の不備です。影響対象はXMII 15.4および15.5で、CVSS 9.1と評価されています。

この脆弱性は、すでにMIIの管理者権限を持つ攻撃者が、不正な要求により下位のJavaアプリケーションサーバーで高い権限のアカウントを作成できる可能性があるというものです。したがって、認証されていない外部の第三者が直ちにシステムを乗っ取れるという説明ではありません。製造システムを管理する組織では、MII管理者の付与状況とサーバー側の管理権限を併せて点検し、SAP Note 3798788を適用します。

Commerce CloudのSQLインジェクション、Web Dispatcher関連のメモリ破損にも対応

Criticalの4件以外にも、SAPは次の脆弱性を修正対象として公表しています。

2026年3月のCVE-2026-24316（NetWeaver ABAPのSSRF、SAP Note 3689080）と2025年9月のCVE-2025-42938（NetWeaver ABAP PlatformのXSS、SAP Note 3629325）についても、既存セキュリティノートが更新されています。過去のパッチデーで対応済みの環境でも、今回のノート更新に追加対応が必要か確認してください。

SAP管理者・情報システム部門が確認したい対応

最初に、自社または委託先のSAP環境で対象コンポーネントが利用されているかを洗い出します。SAP S/4HANA、NetWeaverという製品名が一致するだけでは、表にある全CVEの影響を受けるとは限りません。S4CORE、VC70RUNTIME、XMII、KERNELなどのコンポーネントとサポートパッケージの組み合わせで判断します。

優先する確認事項は以下のとおりです。

1. Python製アプリケーションの依存ライブラリにsap-cloud-sdkがあり、0.45.2未満を利用していないか。マルチテナントアプリでtenant_subdomainを外部から指定できるか。
2. NetWeaver Visual Composer（VC70RUNTIME 7.50）を利用している場合、外部公開状況、低権限アカウントの操作範囲、リモート接続先の権限を確認したか。
3. S/4HANA（S4CORE 105～109）で、代入・検証ルールの管理機能を利用しているか。変更権限と関連ログを確認できるか。
4. MII（XMII 15.4、15.5）の管理者権限を持つアカウントを棚卸しし、下位のJavaアプリケーションサーバーも含めて修正を計画したか。
5. SAP for Meの該当Security Noteから、適用すべきパッチレベル、前提条件、追加設定、再起動の要否を確認したか。

停止可能時間が限られる基幹システムでは、事前検証と復旧手順を用意したうえで修正計画を確定させます。外部公開機能や高権限アカウントの制限は対策の補完になりますが、SAPが提供する修正の代わりにはなりません。

セキュリティ対策Labでは、資産把握から修正優先順位・適用後検証までを脆弱性管理の運用プロセスで整理しています。また、以前公表されたSAP KernelのCVE-2026-44756は今回の4件とは別の脆弱性です。

出典

• SAP Security Patch Day – October 2026（2026年10月13日）– SAP
• OAuth2 SSRF vulnerability in SAP Cloud SDK for Python（GHSA-4mv3-jxxm-9cx2）– SAP公式GitHub
• SAP Security Note 3797111（CVE-2026-89110）– SAP for Me
• SAP Security Note 3805589（CVE-2026-89107）– SAP for Me
• SAP Security Note 3798788（CVE-2026-89108）– SAP for Me
• CVE-2026-89110 – NVD（SAPが登録した脆弱性説明）
• SAP S/4HANA Rules for Substitution/Validation – SAP Help Portal
• Known Exploited Vulnerabilities Catalog（2026年10月13日版）– CISA公式GitHubミラー