要点
- SAP が11月の月例パッチで、最高評価 CVSS 10.0 の欠陥を4件修正した。
- 4件とも、ログインなしで外から突ける欠陥とされ、基幹システムの乗っ取りにつながりうる。
- 最高評価なので、早めの適用が望ましい。
何が起きたか
SAP は2026年11月の月例パッチ（Security Patch Day）で、重要度「Critical」の欠陥を9件公表した。うち4件が CVSS 10.0（欠陥の深刻さを最大10で表す指標の満点）である。SAP の11月のセキュリティ速報に載っている。
4件は次のとおりだ。
- CVE-2026-76964：NetWeaver AS ABAP の通信部品 ICM。メモリの破損の欠陥。
- CVE-2026-89126：SAP Web Dispatcher（外からの通信をさばく入り口の部品）。メモリの破損の欠陥。
- CVE-2026-89103：SAP Gateway。アクセス制限の不備。
- CVE-2026-120017：NetWeaver AS ABAP と ABAP Platform の SAML2（シングルサインオンの仕組み）。認証の欠落。
The Hacker News は、メモリ破損の2件は細工した通信でコード実行に至りうること、SAML2 の欠陥は設定によっては任意のユーザーとしてログインできうることを報じている。ただし SAP の速報ページ自体には、この詳しい説明は出ていない。各 SAP Note（修正の案内）は SAP のアカウントでログインしないと読めない。詳細は Note で確かめてほしい。
悪用の有無については、今回確認した資料には記述がない。
日本の利用者への影響
日本での利用状況や、日本の組織への影響は、今回の一次情報からは確かめられていない。
ただし、インターネットに公開している SAP や、社外の取引先と接続している SAP がある組織は、特に当たりやすい。自社の SAP が対象かどうかは、システム管理者か、保守を委託しているベンダーに確かめる必要がある。
今すぐやること
- 自社の SAP の管理者や保守ベンダーに、「11月の月例パッチの CVSS 10.0 の4件は、うちに当たるか」を聞く。
- 当たるなら、4件の SAP Note（3778530・3778556・3798345・3849308）を、ほかの更新より先に適用する計画を立てる。
- SAML2 の欠陥には、回避策がないとされる。シングルサインオンを使っているなら、最優先にする。
- 外のインターネットから SAP の入り口（Web Dispatcher など）に届く道があるか確かめる。不要な公開は閉じる。
- 適用までのあいだ、SAP のログに見慣れないログインや通信がないか、監視を強める。
背景
SAP は毎月第2火曜日に、まとめて修正を出す。基幹システムは止めにくく、更新が遅れがちだ。そのため、公表された欠陥が長く残りやすい。
技術者向けの詳細
SAP の速報による、4件の対象は次のとおり。
- CVE-2026-76964（Note 3778530）：KERNEL 7.53、7.54、7.77、7.93、9.16、9.18、9.20、KRNL64UC 7.53。
- CVE-2026-89126（Note 3778556）：WEBDISP 7.53、7.54、7.77、7.93、9.16。KERNEL の各版。HDB 2.00、XS_ADVANCED_RUNTIME 1.00、SAP_EXTENDED_APP_SERVICES 1 も対象。
- CVE-2026-89103（Note 3798345）：KERNEL 7.22 から 9.21 の各版（7.22、7.53、7.54、7.77、7.93、8.04、9.16、9.20、9.21）。KRNL64NUC、KRNL64UC も対象。
- CVE-2026-120017（Note 3849308）：SAP_BASIS 702、731、740、750〜758、816、920〜922。
- 9.9 の3件も同じ日に出ている：CVE-2026-109803（KM XML Forms）、CVE-2026-76965（ABAP AS のコマンド注入）、CVE-2026-109795（S4CRM）。
- ICM と Web Dispatcher の修正には、FAQ の Note 3778788 が関係すると報じられている。
- 版の細かい条件と修正の中身は、各 SAP Note で確認すること。