SAP、CVSS 10.0の「OVERPASS」を修正　SAP KernelのCVE-2026-44756、未認証で複数経路から到達可能

SAPは2026年9月8日のSecurity Patch Dayで、SAP Extended Passport（EPP）の処理に存在するメモリ破損 脆弱性 CVE-2026-44756を修正しました。

CVSS v3.1の基本値は最大の10.0（Critical）です。SAPによると、影響を受けるEPP処理ライブラリへ細工したネットワークリクエストが送られると、メモリ安全性の問題が発生し、異常終了などにつながる可能性があります。攻撃経路はNetwork、必要権限はNone、ユーザー操作も不要と評価されています。

この脆弱性をSAPへ報告したOnapsis Research Labsは「OVERPASS」と命名しました。同社は、脆弱なコードがSAP Kernelで共有されているため、インターネットに公開されたWeb層だけでなく、SAP GUIやRFCを利用する内部経路からも到達可能と説明しています。また、同社の検証では、悪用に成功した場合、SAPシステムを実行するOSアカウントの権限で任意コマンドを実行できるとしています。

ただし、SAPのCVE説明自体は任意コード実行までを明示していません。9月9日時点でOnapsisは実環境での悪用を確認しておらず、CISA Known Exploited Vulnerabilities（KEV）Catalogへの掲載も確認できませんでした。

SAPを運用する企業では、インターネット公開システムだけを確認するのではなく、SAP Kernelのリリース・パッチレベルを基準に影響範囲を確認する必要があります。

SAP OVERPASS（CVE-2026-44756）のサマリー

確認できている内容：

• SAPは2026年9月8日、Security Note 3747649でCVE-2026-44756を修正しました。
• 脆弱性はSAP Extended Passport（EPP）Processingに存在するメモリ破損の問題です。
• CVSS v3.1は10.0（Critical）です。
• CWEはCWE-120「Buffer Copy without Checking Size of Input」です。
• Attack VectorはNetwork、Attack ComplexityはLowです。
• 攻撃に認証は不要で、ユーザー操作も不要と評価されています。
• 影響対象にはSAP Kernel、SAP Web Dispatcher、KRNL64NUC、KRNL64UCの複数リリースが含まれます。
• Onapsis Research Labsが脆弱性を発見し、「OVERPASS」と命名しました。
• Onapsisは、Web、SAP GUI、RFCの少なくとも3経路から同じ脆弱なEPP処理へ到達できると説明しています。
• Onapsisによると、脆弱なWeb層を持つインターネット公開SAPシステムを1万以上のIPアドレスで確認しています。
• Onapsisは、悪用成功時にSAPホスト上で任意のOSコマンドをSAP管理権限で実行できるとしています。
• 一方、SAPのCVE説明は「undefined behavior」「abnormal program termination」と高い機密性・完全性・可用性への影響を示しており、任意コード実行を明文では説明していません。
• 9月9日時点でOnapsisは実環境での悪用を確認していません。
• Onapsisは悪用に利用できる技術詳細を意図的に公開していません。
• 9月9日時点でCISA KEV Catalogへの掲載は確認できませんでした。
• SAPは9月のPatch Dayで新規Security Note 19件と既存Noteの更新1件を公開しています。

現時点で未確認・未公表の内容：

• 実攻撃での悪用
• 攻撃者・脅威アクター
• 被害組織
• 日本企業での被害
• 公開PoC
• 悪用開始時期
• インターネット上に存在する1万超のIPのうち、実際に脆弱なパッチレベルのシステム数

項目	内容
CVE	CVE-2026-44756
通称	OVERPASS（Onapsisによる名称）
公表日	2026年9月8日
SAP Security Note	3747649
対象	SAP Extended Passport（EPP）Processing
種別	メモリ破損
CWE	CWE-120
CVSS v3.1	10.0 / Critical
Attack Vector	Network
Attack Complexity	Low
必要権限	None
ユーザー操作	None
主な影響	機密性・完全性・可用性への高い影響
実悪用	9月9日時点で確認できず
公開PoC	9月9日時点で信頼できる公開情報を確認できず
CISA KEV	9月9日時点で掲載を確認できず
対応	SAP Security Note 3747649に従いKernel等を更新

CVE-2026-44756はSAP Extended Passportのメモリ破損脆弱性

CVE-2026-44756は、SAP Extended Passport（EPP）の処理ライブラリに存在するメモリ安全性の脆弱性です。

SAPのCVEレコードでは、特定条件下で未認証の攻撃者が不正なEPPヘッダーを含むネットワークリクエストを送信することで、未定義動作やプログラムの異常終了を引き起こす可能性があると説明しています。

CWEはCWE-120です。

CVSS v3.1ベクトルは次のとおりです。

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

評価上は、

• ネットワークから到達可能
• 攻撃条件の複雑さはLow
• 認証不要
• ユーザー操作不要
• Scope Changed
• 機密性・完全性・可用性への影響はいずれもHigh

となっています。

認証を通過した利用者だけが到達する管理機能の脆弱性ではありません。

EPPは分散したSAPシステムの呼び出しを追跡する仕組み

SAP Extended Passportは、複数のSAP・非SAPシステムをまたぐ処理を追跡するための仕組みです。

SAP Help Portalでは、EPPについて、分散システム環境で呼び出しシーケンスを分析し、ログやエラーを関連付け、エンドツーエンドでトレースするためのデータ構造と説明しています。

EPPは新しいユーザーセッションが開始された際に生成され、RFCやHTTPなどの通信プロトコルによってクライアントからサーバーへ渡されます。

ABAPシステム間の通信ではEPPがデフォルトで実装されています。

今回の問題は、業務データそのものではなく、このEPPを処理する共通Kernelコードに存在しています。

そのため、個別のSAPアプリケーション名だけで影響範囲を判断すると、対象を見落とす可能性があります。

OnapsisはWeb・SAP GUI・RFCの3経路を確認

脆弱性を発見したOnapsis Research Labsは、EPP処理がSAP Kernelの共有コードであるため、少なくとも3つの通信経路から脆弱な処理へ到達できるとしています。

Web層

SAP Internet Communication Manager（ICM）やSAP Web DispatcherがEPPを含むWebリクエストを処理します。

この経路には、

• SAP Fiori
• SAP WebGUI
• Webサービス
• API連携
• 外部向けポータル

など、HTTP／HTTPS経由で提供されるSAP機能が関係します。

インターネットから到達できる構成の場合、外部の未認証攻撃者が脆弱な処理へ到達できる可能性があります。

SAP GUI層

SAP Dispatcherも、SAP GUIプロトコルを通じて送られるEPPを処理します。

社内利用者が通常のSAP GUIでログインするために必要な経路であり、インターネットへ公開していないSAPシステムでも、社内ネットワークから到達できる場合があります。

RFC層

SAPシステム間や外部システムとの連携で使用されるRemote Function Call（RFC）でもEPPが利用されます。

そのため、Web公開を止めたとしても、SAP GUIやRFCからの到達可能性が残る場合があります。

Onapsisは、いずれも同じCVE-2026-44756に到達する別経路であり、単一のSAP Kernel修正によって対処されると説明しています。

インターネット非公開のSAPも影響確認が必要

CVE-2026-44756は「インターネット公開SAPだけの脆弱性」ではありません。

Onapsisによると、SAP GUI経路は業務利用者がSAPへログインするために通常利用されるため、企業ネットワーク内で到達可能になっているケースが多いとされています。

たとえば、別のフィッシングやVPN侵害などによって攻撃者が企業ネットワークへ侵入した場合、内部からSAP GUI層へ到達できる可能性があります。

これは今回の実攻撃でフィッシングやVPN侵害が確認されたという意味ではありません。

CVE-2026-44756単体の露出確認では、

• インターネット公開Web層
• 社内から到達可能なSAP Dispatcher
• SAP間のRFC接続

を分けて確認する必要があるという点です。

Onapsisは任意OSコマンド実行によるシステム侵害が可能と説明

SAPの公式CVE説明は、異常終了や機密性・完全性・可用性への高い影響を記載しています。

一方、脆弱性を発見・検証したOnapsis Research Labsは、影響をより踏み込んで説明しています。

同社によると、細工したリクエストによって脆弱なSAPプロセスを制御し、SAPシステムを所有するOSアカウントの権限で任意コマンドを実行できるとしています。

その場合、

• SAP業務データへのアクセス
• SAP Secure Store内の情報へのアクセス
• 接続先システムで使用される認証情報へのアクセス
• SAP設定やデータの改変
• 他SAPシステムへの横展開
• サービス停止

などにつながる可能性があると分析しています。

ただし、これらはOnapsisの研究結果に基づく影響評価です。

SAPの公開CVEレコードが「任意コード実行」や「SYSTEM完全侵害」と直接記載しているわけではないため、両者を分けて扱う必要があります。

認証・ロール設定だけでは防げない

Onapsisによると、EPPはセッション開始時に処理され、SAPの通常の認証・認可判定より前に脆弱なコードへ到達します。

そのため、

• SAPユーザーのロック
• パスワードポリシー強化
• SAPロールの見直し
• Segregation of Duties（SoD）の強化

だけでは、CVE-2026-44756への対策になりません。

これらの設定は通常の不正利用防止には必要ですが、今回の脆弱性は認証前の処理に存在します。

根本対策はSAP Security Note 3747649に基づく修正です。

影響を受けるSAP KernelとWeb Dispatcher

SAPの2026年9月Security Patch Dayで公表された対象には、次のリリースが含まれています。

コンポーネント	影響対象としてSAPが公表したリリース
KRNL64NUC	7.22、7.22EXT
KRNL64UC	7.22、7.22EXT、7.53、8.04
KERNEL	7.22、7.53、7.54、7.77、7.89、7.93、8.04、9.16、9.18、9.19、9.20
WEBDISP	9.16、9.18、9.19、9.20

実際に修正が必要なKernel patch levelは、SAP Security Note 3747649で確認します。

SAP環境では同じメジャーリリースでもパッチレベルが異なるため、「KERNEL 7.89だから脆弱」といった製品バージョンだけの判定では不十分です。

運用担当者は各SAPシステムのKernel releaseとpatch levelを取得し、Note 3747649の対象表と照合する必要があります。

S/4HANA、ERP、BW/4HANAなど広範なSAP製品で確認が必要

Onapsisは、脆弱なコードがSAP Kernelの共通部分に存在するため、影響確認が必要な製品例として次を挙げています。

• SAP S/4HANA
• SAP ERP / Business Suite（ECC）
• SAP NetWeaver Application Server ABAP
• SAP Web Dispatcher
• SAP BW/4HANA
• SAP Enterprise Portal
• SAP PI/PO
• SAP Solution Manager
• その他、該当SAP Kernelを使用する製品

これは「これら全製品の全バージョンが必ず脆弱」という意味ではありません。

判定基準は製品名ではなく、SAP Security Note 3747649に記載されたKernel release・patch levelです。

Onapsisは1万以上のインターネット公開SAP IPを確認

Onapsis Research Labsは、独自の高精度フィンガープリントを用いた調査で、SAPのWebインターフェースを公開しているユニークなIPアドレスを1万以上確認したとしています。

同社によると、この数字はHTTPで識別できたSAPシステムを数えたもので、SAP Web Dispatcherはバックエンドを代理し、ルートパスにSAP固有の識別情報を返さないため、実際の公開数を過小評価している可能性があります。

ただし、この「1万以上」は、

• 1万台すべてがCVE-2026-44756の脆弱なパッチレベルである
• 1万台すべてが攻撃可能
• 1万組織が影響を受ける

という意味ではありません。

Onapsisが確認したのは、インターネットからSAP Webインターフェースへ到達できるIP数です。

実際の脆弱性有無はKernel patch levelを確認する必要があります。

実悪用は9月9日時点で確認されていない

Onapsis Research Labsは9月8日の公開時点で、CVE-2026-44756について実際の攻撃での悪用を確認していないと明記しています。

同社は、責任ある開示方針に基づき、悪用に直接利用できる技術詳細を意図的に公開していません。

9月9日時点で確認した範囲では、

• SAPによる実悪用確認
• Onapsisによる実悪用確認
• CISA KEV Catalog掲載
• 信頼できる公開PoC

はいずれも確認できませんでした。

そのため、「攻撃中のゼロデイ」「すでに攻撃者が大量悪用している」とは記載できません。

一方、未認証・ネットワーク経由・低攻撃複雑度でCVSS 10.0という条件から、実悪用情報がないことを理由に通常の月次更新まで先送りする対象ではありません。

SAP Security Note 3747649の適用が根本対策

SAPはSecurity Note 3747649でCVE-2026-44756を修正しています。

Onapsisも、SAP Kernelの更新を「すべての到達経路を閉じる唯一の完全な対策」としています。

SAP環境では次の順で対応できます。

1. 全SAPシステムのKernel releaseとpatch levelを棚卸しする
2. Security Note 3747649と照合する
3. インターネット公開システムを最優先で更新する
4. SAP GUI・RFCから到達可能な内部システムも更新する
5. 開発・検証・DR・旧システムを確認する
6. 更新後にKernel patch levelを再確認する
7. 適用完了までSAPアプリケーション層の不審な通信・異常終了を監視する

Onapsisは、追加情報としてSAP FAQ Note 3776034と、HTTP経路の一時的な回避策を扱うSAP Note 3756304が存在すると案内しています。

ただし、ネットワーク制限やHTTP向け回避策だけではSAP GUI・RFCを含む全経路を修正できません。

可能な限りSecurity Note 3747649に基づくKernel更新を優先します。

9月Patch DayではNetWeaver Message ServerのCVE-2026-58240もCritical

SAPの2026年9月Security Patch Dayでは、CVE-2026-44756以外にもCriticalの脆弱性が公開されています。

特にSAP NetWeaver Message ServerのCVE-2026-58240はCVSS 9.8です。

この脆弱性では、内部Application Serverコンポーネントの登録時に真正性を十分確認しないため、対象サービスへネットワークアクセスできる未認証攻撃者が不正なコンポーネントを登録し、アプリケーション環境で不正操作を行える可能性があります。

影響対象としてSAPが公表しているのは、

• KERNEL 9.16
• 9.18
• 9.19
• 9.20

です。

Onapsisはこの脆弱性を「S4GET」と命名しています。

CVE-2026-44756を適用する際は、9月Patch Dayの他のSecurity Noteも同じSAPランドスケープに該当しないか確認します。

関連記事：SAP、2026年7月のセキュリティパッチデーでCVSS 9.9のNetWeaver重大脆弱性を含む16件を修正

情報システム部門が確認したいポイント

CVE-2026-44756は、インターネット公開有無だけで優先度を決めない方がよい脆弱性です。

SAP担当、インフラ担当、SOC・CSIRTは次を確認できます。

• SAP Security Note 3747649を参照できる担当者が決まっているか
• 全SAPシステムのKernel releaseとpatch levelを取得できるか
• SAP Web Dispatcherのバージョンを把握しているか
• インターネットへ公開しているFiori、WebGUI、API、ポータルを把握しているか
• SAP Dispatcherへ到達できるネットワーク範囲を把握しているか
• RFCで接続されるSAP・非SAPシステムを把握しているか
• 本番だけでなく開発・検証・DR環境を確認したか
• 本番データを複製したテスト環境が未更新で残っていないか
• 廃止予定だが稼働中のSAPシステムがないか
• Kernel更新のメンテナンス枠を確保できるか
• 更新後のKernel patch levelを検証する手順があるか
• パッチ適用までの間、異常終了や不審なSAP通信を監視できるか
• CVE-2026-58240など同月のCritical Noteも同時に評価したか

特に、SAP環境の資産台帳が「S/4HANA」「ECC」といった製品名だけで管理されている場合、今回の脆弱性判定には不足します。

Kernel release、patch level、Web Dispatcher、接続経路まで把握しておくと、共通Kernelに脆弱性が公表された際に対象システムを短時間で絞り込めます。

出典

• SAP Security Patch Day – September 2026 – SAP
• SAP Security Note 3747649 – SAP
• CVE-2026-44756 – CVE Program
• Extended Passport (EPP) – SAP Help Portal
• Using the Extended Passport – SAP Help Portal
• Mitigating OVERPASS (CVE-2026-44756): A Critical Vulnerability in the SAP Kernel – Onapsis Research Labs
• SAP Security Notes: September 2026 Patch Day – Onapsis Research Labs
• CVE-2026-58240 – CVE Program
• Known Exploited Vulnerabilities Catalog – CISA