SAP 8月月例、CVSS10.0とSAP GUI経路の欠陥

【更新 2026-08-15】本記事を見直し、修正しました。主な修正点：CVE-2026-58231について、パッチ公開の3日後にセキュリティ企業のハニーポットへ悪用試行が観測されたとの報告を追記。CVE-2026-44747の公開日を「2026年7月13日」から「2026年7月14日」（SAPの7月月例更新日）に訂正。

SAPは2026年8月11日、月例のセキュリティ更新（SAP Security Patch Day）を公開しました。最も深刻なのはSAP Commerce Cloudの認可不備（CVE-2026-58231、CVSS 10.0）で、認証なしで任意コード実行に至る可能性があります。ただし情シスとして本当に確認すべきはもう1件、SAP GUIが使う「DIAGプロトコル」の解析処理に認証不要のメモリ破損（CVE-2026-34265、CVSS 9.8）がある点です。こちらはABAPベースのSAPを動かしている限り、製品構成に関わらず該当します。

SAP自身は、これらが悪用されているとするアドバイザリを出していません。ただしCVE-2026-58231については、パッチ公開から3日後の2026年8月14日、脅威インテリジェンス企業Defusedが自社ハニーポットへの悪用試行を観測したと報告しており、SAPは「報告された悪用活動を調査中」としています（公開されたPoCは確認されていません）。本記事の更新時点（2026年8月15日）でCISAのKEVカタログには登録されていませんが、Commerce Cloudを外部に公開している組織は最優先で適用と到達制限を進めてください。

この記事でわかること

  • 2026年8月のSAP月例更新で「クリティカル」とされた4件の中身
  • Commerce CloudもMIIも使っていない組織が、それでも該当する理由
  • 自社が対象かを判定する具体的な手順（ポート・カーネルバージョン）
  • カーネルパッチという「止めないと当てられない」修正への向き合い方

今回出てきた3つの製品は何者か

SAPは製品名が多く、名前だけでは自社に関係があるか判断できません。まず今回の登場人物を押さえます。

  • SAP NetWeaver Application Server ABAP（ABAP Platform）とは、SAPの業務アプリケーションを動かす土台となるアプリケーションサーバーです。ERP（SAP ECC / S/4HANA）をはじめ、ABAPで書かれたSAP製品はほぼ例外なくこの上で動いています。「SAPを使っている」＝この土台を使っている、と考えてほぼ間違いありません。
  • SAP MII（Manufacturing Integration and Intelligence）とは、工場の製造設備・生産管理システム（いわゆるショップフロア）とERP（SAP ERP / S/4HANA）をつなぐ統合基盤です。製造業で、生産実績や設備データを基幹側に流し込む用途で導入されます。OT側とIT側の境界に立つサーバーである点が今回のポイントです。
  • SAP Commerce Cloudとは、ECサイト・顧客向けデジタルチャネルを構築するコマース基盤です。今回対象となった「Data Hub Adapter」は、外部システムとの間でデータをやり取りする連携コンポーネントにあたります。

つまり、MIIとCommerce Cloudは「入れている会社だけ」の話ですが、NetWeaver AS ABAPは事実上すべてのSAP利用企業が該当します。「うちはコマースも製造統合も使っていない」で読み飛ばすと、いちばん広く効く1件を落とします。

何が公開されたのか

SAPは8月11日に新規Security Note 28件、既存Noteの更新2件、GitHub Security Advisory 1件を公開しました。うち最上位区分の「HotNews（クリティカル）」は4件です。

SAP Note CVE CVSS 対象製品 種別
3771065 CVE-2026-58231 10.0 SAP Commerce Cloud（Data Hub Adapter） 認可不備／コード実行
3765948 CVE-2026-44772 9.9 SAP MII コードインジェクション
3714806 CVE-2026-34265 9.8 SAP NetWeaver AS ABAP / ABAP Platform メモリ破損（境界外書き込み）
3758900 CVE-2026-44758 9.1 SAP MII（XMII 15.4 / 15.5） コードインジェクション

件数については、集計するベンダーによって「新規26件＋更新3件」と数えるところもあり、報道間で幅があります。原因は更新Noteやアドバイザリ形式の項目を新規に含めるかどうかの違いです。クリティカル4件という点は各社一致しているので、優先度判断はこの4件を軸にすれば足ります。

最大深刻度：CVE-2026-58231（CVSS 10.0）

SAP Commerce CloudのData Hub Adapterに存在する認可不備です。CVSSベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H で、ネットワーク経由・認証不要・利用者操作不要という最悪の組み合わせに加え、スコープ変更（S:C）により影響が当該コンポーネントの外へ波及します。既定の認証クライアントを悪用し、細工した入力を送ることで任意コード実行に至るとされています。対象はCOM_CLOUD 2211および2211-JDK21です。

広さで効くのはCVE-2026-34265（CVSS 9.8）

SAP NetWeaver AS ABAPのDIAGプロトコルの解析処理における論理エラーで、境界外書き込み（CWE-787）が発生します。ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。認証不要である点が重く、情報漏えいまたはシステムクラッシュにつながるとされています。対象カーネルはKRNL64NUC 7.22系から9.19まで、と広範囲に及びます。

MIIは6件がまとめて対象

MIIは今回、クリティカル2件・高3件・中1件の計6件が対象になりました。特にCVE-2026-44772（Note 3765948）はXSL変換処理に起因するもので、回避策が用意されておらず、パッチ適用しか手がありません。CVE-2026-44758（Note 3758900）は脆弱なサーブレット（IllumXSLTServlet）の削除という形で回避可能ですが、こちらも PR:H（高権限が必要）とはいえ成功時にOS上の任意コマンド実行に至ります。MIIを入れている製造業は、今月は最優先で棚卸ししてください。

「SAP GUIの窓口」が外から叩ける状態になっていないか

DIAGは、SAP GUI（プレゼンテーション層）とアプリケーションサーバー間の通信を運ぶSAP独自プロトコルです。信頼された社内ネットワークを前提に設計された古い世代のプロトコルで、「listenしているポートはいずれスキャンされる」という現代の前提には立っていません。

受け口はディスパッチャーサービスの TCP/32NN（NNは2桁のインスタンス番号）で、既定の単一インスタンス構成なら 3200番です。ここで実務上の落とし穴になるのが次のパターンです。

  • ロードバランサー配下のダイアログインスタンス
  • 本番以外の開発機・検証機（本番だけ厳格にセグメント分離し、開発機は緩いまま、というのはよくある構成です）
  • クラウド移行時に既定のポート設定をそのまま持ち込み、セキュリティグループを利便性優先で書いたケース

自社が該当するかをどう確認するか

  • カーネルバージョンの確認：SAP GUIのメニューから「システム → ステータス」でカーネルリリースとパッチレベルを確認します。7.22〜9.19系であれば対象範囲に入ります。
  • ポートの露出確認：社外・DMZ・拠点間から 3200〜3299 に到達できないかを、実際に外側から確認します。ファイアウォールの設定書ではなく実測で見てください。設定書と実態がずれているのがこの種の事故の典型です。
  • SNC（Secure Network Communications）の有効化状況：DIAG通信の認証・暗号化が有効かどうか。
  • SAProuterのルートテーブル：明示的な許可リストになっているか、ワイルドカードで広く開いていないか。

現場目線：いちばん厄介なのは「再起動できない」こと

CVE-2026-34265とCVE-2026-44747の修正はカーネルパッチとして提供されます。つまりインスタンスの再起動が必要です。これが、SAPの脆弱性対応が他製品と決定的に違うところだと感じます。

Webサーバーやクライアントアプリなら「今夜当てます」で済みますが、基幹システムは止める調整そのものが仕事になります。月次決算の締め、棚卸、給与計算のタイミングを外し、業務部門と情報システム部門と保守ベンダーの三者で日程を握る——この調整に数週間かかり、その間ずっと脆弱なまま、というのが実態ではないでしょうか。しかも今週はお盆で、判断できる人が揃わない組織も多いはずです（夏季休暇のセキュリティ対策）。

さらに、SAPは情シスの直接の管轄外になりがちです。Basis担当や導入ベンダーが見ているため、月例Noteが公開されたこと自体が情シスに届かないことがあります。「誰がSAP Security Patch Dayをウォッチし、誰が適用可否を決めるか」が決まっていないなら、脆弱性そのものより先にそこを直すべきです。

更新Noteも今月の対象に含まれる

集計を追っていて気づいた点として、8月分の一覧にはSAP Note 3747367（CVE-2026-44747、CVSS 9.9、SAP NetWeaver AS ABAPのメモリ破損）が含まれることがあります。このCVEの公開日は2026年7月14日（SAPの7月月例更新日）で、今月の新規ではなく更新されたNoteです。

ここに実務的な示唆があります。「今月の新規4件だけ見る」運用では、先月当て損ねた9.9が視界から消えます。更新Noteは「先月見送ったものが再度俎上に載っている」というサインとして扱ってください。

CVSSスコアだけで並べると落ちるものがある

もう1点。今回のCVE-2026-44772（CVSS 9.9）は、本稿執筆時点でNVDに登録が確認できませんでした（CVE IDが見つからない状態）。脆弱性管理ツールがNVDのフィードを基準に動いている場合、9.9のクリティカルが自社のダッシュボードに一切出てこないということが起こり得ます。

スコア駆動のトリアージ（例：CVSS 7.0以上を対応対象とする）は運用としては合理的ですが、スコアが付かないもの・遅れて付くものは構造的に取りこぼします。ベンダー自身のアドバイザリ（この場合はSAP Security Patch Dayのページ）を一次情報として直接見る導線を、ツールとは別に持っておく必要があります。深刻度の数字をどう読むかについてはCVSSが高くても対応が不要なケースも併せてご覧ください。

情シスはどうすべきか

今回のような「止められない基幹システムに、認証不要の重大な欠陥が出た」ケースでは、パッチ適用までの期間をどう凌ぐかが実質的な勝負になります。ベンダーが挙げている緩和策は、いずれもネットワーク側の封じ込めです。

  • ディスパッチャーポート（32NN）への到達を、管理サブネット・踏み台ホストなど信頼できる経路に限定する
  • SAProuterを経由させ、明示的な許可リストでルーティングする
  • SNCを有効化してDIAG通信を認証・暗号化する
  • dev_disp（ディスパッチャートレース）とワークプロセスのトレースを監視対象に入れる

並行して、組織としての備えを固める材料は公的機関の指針が充実しています。自前で長大なチェックリストを作るより、まずは次を土台にしてください。

あわせて、今月は他ベンダーの定例更新も重なっています。Microsoft月例パッチ（8月）、Adobe定例更新（8月）と並べて、限られた人員の投入先を決める必要があります。四半期単位で動くOracle定例パッチも含め、ベンダーごとの公開サイクルを1枚のカレンダーに載せておくと、毎回の慌ただしさが減ります。

まとめ

  1. クリティカルは4件。最大はCVSS 10.0のSAP Commerce Cloud（CVE-2026-58231）だが、対象製品を導入している組織に限られる。ただし公開3日後に悪用試行の観測が報告されているため、導入していれば最優先。
  2. 広く効くのはCVE-2026-34265（CVSS 9.8、認証不要）。SAP GUIが使うDIAGプロトコルの欠陥で、ABAPベースのSAPを使う全社が対象。まずは32NN番ポートの露出を外側から実測すること。
  3. 修正はカーネルパッチ＝再起動が必要。すぐ当てられないなら、ネットワーク側の到達制限とSNC有効化で凌ぎつつ、停止調整を今週から始める。

出典

タイトルとURLをコピーしました