SAPが10月に重大な脆弱性を修正 NetWeaver・S/4HANAなど、公開面は至急確認を

SAPは2026年10月13日のセキュリティパッチデーで、深刻度Criticalを含む複数の脆弱性を修正しました。最高はCVSS 10.0で、NetWeaverやS/4HANAなど、企業の基幹業務を支える基盤が対象です。多くの中小企業には直接は縁の薄い話ですが、SAPを使う会社、とくにインターネットに公開している部分がある会社には、至急の対応が必要です。公式情報から整理します。

今回の重大な脆弱性

今回のパッチデーでは、Criticalが4件含まれます。おもなものは次のとおりです。

公開時点(公開翌日)で、今回の脆弱性が実際に悪用されたという情報はありません。ただし、油断はできません。とくにNetWeaver Visual Composerは、2025年に別の脆弱性(CVE-2025-31324)が実際の攻撃で悪用され、ランサムウェアにも使われ、CISAの悪用が確認された脆弱性リスト(KEV)に載った経緯があります。攻撃者がよく狙う、インターネットに公開されやすい部品です。

影響する会社・しない会社

影響するのは、SAPのNetWeaver、S/4HANA、Commerce Cloud、MII、BTP(Cloud SDK for Python)などを使っている会社です。これらは主に大企業や中堅企業で使われる基盤で、とくにインターネットに公開しているコンポーネント(ポータルやVisual Composerなど)がある場合は、緊急度が高くなります。

一方、SAPを使っていない会社には、直接の関係はありません。中堅・中小向けのSAP Business Oneは、今月の対象には含まれていないため、Business Oneだけを使っている会社も、今回の直接の対象ではありません。ただし、取引先やグループ会社がSAPを使っている場合、連携の範囲で影響や確認の依頼が及ぶことがあります。

情シスが今日やること

• SAPの利用と公開面を確認する: 自社でSAP(NetWeaver、S/4HANA、BTPなど)を使っているか、どのコンポーネントをインターネットに公開しているかを確認します。SAPの運用を委託している場合は、委託先に同じ確認を依頼します
• Criticalから適用する: 該当するセキュリティノート(CVE-2026-89111=3797111、89110=3805589、89107=3798788、89108=3800517など)を、SAPのサポートで確認して適用します。Cloud SDK for Pythonは0.45.2以上へ更新します
• 公開範囲を見直す: とくにVisual Composerやポータルなど、公開する必要のない機能は、アクセス制限や無効化を検討します。過去に悪用された部品でもあるため、外部からの到達経路を絞ることが被害を抑えます
• 更新の運用を確認する: SAPは毎月第2火曜にパッチデーがあります。毎月の適用と、公開面の点検を定例の作業に組み込んでおくと、今回のような重大な欠陥にも落ち着いて対応できます

SAPは縁遠く感じる会社も多いですが、使っている会社にとっては基幹そのものです。公開しているSAPは攻撃者の標的になりやすいため、「自社のSAPが外部にどこまで見えているか」を、この機会に確かめておくことをおすすめします。