SAPは2026年9月8日の月例セキュリティ更新(Security Patch Day)で、SAP Extended Passport(EPP)処理に存在する重大なメモリ破損脆弱性CVE-2026-44756を修正しました。
CVE-2026-44756は、SAP Kernelなどで共有されるEPP処理ライブラリのメモリ安全性に関する問題です。共通脆弱性評価システム(Common Vulnerability Scoring System:CVSS) v3.1の基本値は最大の10.0(重大:Critical)で、ネットワーク経由、低い攻撃複雑性、事前権限不要、利用者操作不要と評価されています。
この脆弱性を発見したOnapsis Research Labsは「OVERPASS」と命名しました。Onapsisの検証によると、認証されていない攻撃者が細工したリクエストを送信し、影響を受けるSAPプロセスを制御したうえで、SAPシステムを所有するOSアカウントの権限で任意のOSコマンドを実行できる可能性があります。
重要なのは、SAP公式のCVE説明とOnapsisの研究結果を区別することです。SAPのCVEレコードは、異常終了や未定義動作を含むメモリ安全性問題と、機密性・完全性・可用性への高い影響を説明しています。任意OSコマンド実行やSAPシステム全体の侵害可能性は、脆弱性を発見・検証したOnapsisが公開した分析です。
SAPはセキュリティノート(Security Note) 3747649を公開して修正を提供しています。Onapsisによると、複数の通信経路から同じ脆弱なKernelコードへ到達できるため、単一のネットワーク制御だけでは完全に防げず、Kernelパッチの適用が唯一の完全な修正です。
CVE-2026-44756「OVERPASS」の概要
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-44756 |
| 通称 | OVERPASS(Onapsisによる命名) |
| 対象 | SAP Extended Passport(EPP) Processing / SAP Kernel関連コンポーネント |
| 脆弱性 | メモリ破損・メモリ安全性の問題 |
| CWE | CWE-120 |
| CVSS v3.1 | 10.0(重大:Critical) |
| 攻撃元 | ネットワーク |
| 攻撃複雑性 | 低 |
| 事前権限 | 不要 |
| 利用者操作 | 不要 |
| 主な影響 | メモリ破損、異常終了、機密性・完全性・可用性への重大な影響 |
| Onapsisの検証 | SAPホスト上で任意OSコマンド実行、SAP管理権限相当での侵害 |
| 修正 | SAPセキュリティノート3747649 |
| 実悪用 | Onapsisは9月8日時点で観測していない |
共通脆弱性タイプ一覧(Common Weakness Enumeration:CWE)ではCWE-120「Buffer Copy without Checking Size of Input」に分類されています。入力サイズを適切に確認しないバッファコピーに関連するメモリ安全性の問題です。
CVSS v3.1ベクトルはAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hです。ネットワークから到達可能で、攻撃複雑性は低く、認証済みアカウントなどの権限を必要とせず、利用者操作も不要です。機密性、完全性、可用性はいずれもHigh、スコープは変更ありと評価されています。
Extended Passport(EPP)とは
SAP Extended Passport(EPP)は、SAPシステム内でリクエストやユーザーセッションを追跡するために利用される構造です。
Onapsisによると、EPPは新しいセッションが開始される際に作成・処理され、HTTP、SAP GUI、リモートファンクションコール(Remote Function Call:RFC)など複数の通信経路でクライアントからサーバーへ渡されます。
ここがCVE-2026-44756の危険性につながります。EPPの処理は利用者認証より前の段階で行われるため、SAPのユーザーロック、ロール、認可オブジェクト、ログオンポリシーなどが評価される前に脆弱なコードへ到達できるとOnapsisは説明しています。
つまり、通常の「権限の弱いSAPユーザーが危険な操作を行う」という脆弱性ではありません。攻撃者は有効なSAPユーザーやパスワードを持っていなくても、脆弱なEPP処理へ到達できる可能性があります。
原因はEPP処理のメモリ安全性問題
SAPのCVEレコードによると、Extended Passport Protocolの処理ライブラリにメモリ安全性の問題があります。
特定の条件下で、認証されていない攻撃者が不正なEPPヘッダーを含む細工したネットワークリクエストを送信すると、未定義動作やプログラムの異常終了を引き起こす可能性があります。
Onapsisはさらに詳細な分析として、外部から与えられる長さ情報の処理で境界検証が不足しており、EPPデータの処理中にメモリ安全性違反が生じると説明しています。
攻撃者がこのメモリ破損を制御できた場合、単なるサービス停止ではなく、受信側SAPプロセスの実行フローを制御し、OSコマンド実行へ発展させられるとOnapsisは検証しています。
ただし、SAPとOnapsisはいずれも修正を優先するため、実際の悪用に必要な詳細なリクエスト構造やメモリ破損の再現手順を公開していません。本記事でも攻撃の再現につながる低レベルの技術手順は扱いません。
Web、SAP GUI、RFCの3つの経路から到達可能
OVERPASSが一般的な単一エンドポイントの脆弱性と異なる点は、脆弱なEPP処理が共有Kernelコードに存在し、複数の通信経路から到達できることです。
Onapsisは少なくとも次の3経路を確認しています。
- Web層:SAP Internet Communication Manager(ICM)やSAP Web Dispatcherを介するHTTP/HTTPS通信
- SAP GUI層:SAP Dispatcherへ接続するSAP GUIプロトコル
- RFC層:SAPシステム間や外部連携で利用されるRFC接続
Web層では、SAP Fiori、SAP WebGUI、Webサービス、API連携など、インターネットへ公開されることがある機能が対象になります。
一方、SAP GUI層は外部公開していない環境でも問題になります。社内利用者がSAPへログオンするためにSAP Dispatcherへ到達できるネットワークでは、すでに内部へ侵入した攻撃者がこの経路を利用できる可能性があります。
RFCもSAPシステム同士の連携や外部システムとの統合で広く利用されています。そのため「Web Dispatcherをインターネットから閉じたからOVERPASSへの対応は完了」とは言えません。
Onapsisは、いずれも同じKernelコードの脆弱性へ到達する別々の経路であり、1件のCVEと1つのSAP Security Noteで修正されると説明しています。
OSコマンド実行に成功した場合の影響
Onapsisによると、影響を受けるSAPコンポーネントはSAPインストールを所有するOSアカウントで実行されています。
このためOVERPASSの悪用によりコード実行が成立した場合、単純なアプリケーションユーザー権限ではなく、SAPシステムを管理するOSアカウントの権限で処理を実行できる可能性があります。
Onapsisは、その結果としてSAP Secure Storeに保存された認証情報、データベース資格情報、ログイン中利用者のセッション情報、SAPが保持する業務データなどへアクセスできる可能性を挙げています。
さらに、接続先SAPシステムとの信頼関係や保存された資格情報を利用して、別のSAP環境へ横展開するリスクも指摘しています。
ただし、これは「CVE-2026-44756が実際の攻撃ですでにデータ窃取やランサムウェア展開に使われた」という意味ではありません。あくまでOnapsisが脆弱性の技術的影響として確認・評価している内容です。
影響するKernel・Web Dispatcherバージョン
SAPの2026年9月Security Patch Day情報では、セキュリティノート3747649の対象として次のコンポーネントとバージョンが挙げられています。
| コンポーネント | 影響バージョン |
|---|---|
| KRNL64NUC | 7.22、7.22EXT |
| KRNL64UC | 7.22、7.22EXT、7.53、8.04 |
| WEBDISP | 9.16、9.18、9.19、9.20 |
| KERNEL | 7.22、7.53、7.54、7.77、7.89、7.93、8.04、9.16、9.18、9.19、9.20 |
ただし、SAP環境では同じKernelコードを多数の製品が利用します。Onapsisは影響範囲としてSAP S/4HANA、SAP ERP / Business Suite(ECC)、SAP NetWeaver Application Server ABAP、SAP Web Dispatcher、SAP BW/4HANA、SAP Enterprise Portal、SAP PI/PO、SAP Solution Managerなどを挙げています。
製品名だけで影響の有無を判断するのではなく、SAPセキュリティノート3747649を基準として、自組織のKernelリリースとパッチレベルを確認することが重要です。
1万以上のインターネット公開SAPインターフェースを確認
Onapsisは独自の高精度なフィンガープリントを利用した調査で、SAPのWebインターフェースを公開する1万以上のユニークなIPアドレスをインターネット上で確認したとしています。
ただし、この「1万以上」はCVE-2026-44756に脆弱なシステム数ではありません。
外部からSAP Webインターフェースとして識別できたIPアドレス数であり、それぞれのKernelパッチレベルまでは示していません。すでにセキュリティノート3747649を適用済みのシステムが含まれる可能性もあります。
さらにOnapsisは、Web Dispatcherがバックエンドを代理し、ルートパスでSAP固有の情報を返さない場合があるため、この数字はインターネット上のSAP公開面を過小評価している可能性があるとしています。
したがって、「1万台以上がOVERPASSに脆弱」と言い換えるのは正確ではありません。一方で、認証前に到達可能なSAP Web層が世界中で多数公開されているという事実は、インターネット公開環境を優先して更新する必要性を示します。
現時点で実悪用は確認されていない
Onapsis Research Labsは2026年9月8日の公開時点で、OVERPASSが実際の攻撃で悪用されている活動を観測していないと明記しています。
そのためCVE-2026-44756を「実悪用中のゼロデイ」と表現するのは現時点では適切ではありません。
一方で、認証不要、CVSS 10.0、複数経路から到達可能という条件を踏まえ、Onapsisはパッチ適用を緊急優先事項として扱うよう強く推奨しています。
過去にはSAPの重大な脆弱性について、修正公開後に攻撃者がパッチを解析し、攻撃手法を構築した事例があります。そのため「まだ実悪用が確認されていない」ことを、更新を延期する理由にはできません。
完全な修正はセキュリティノート3747649の適用
SAPはCVE-2026-44756に対してセキュリティノート3747649を公開しています。
Onapsisによると、単一のKernelパッチによってWeb、SAP GUI、RFCのすべての確認済み攻撃経路を修正できます。
逆に、ファイアウォールでHTTPだけを制限する、SAP GUIだけを特定ネットワークへ限定する、といった単一の制御ではすべての経路を閉じることはできません。
SAPは追加のFAQとしてSAP Note 3776034を公開しており、HTTP通信についてはSAP Note 3756304に特定の回避策も文書化されています。
ただしOnapsisは、これらのネットワーク制限や補完策を恒久的な代替策とはしていません。脆弱な共有Kernelコードそのものを修正するセキュリティノート3747649の適用が完全な対策です。
管理者が優先して確認すべきこと
1.Kernelリリースとパッチレベルを確認する
まず、自組織のSAPシステムがセキュリティノート3747649の対象か確認してください。製品名だけではなく、実際のKernelリリースとパッチレベルを基準にします。
2.インターネット公開システムを最優先する
SAP Fiori、WebGUI、Webサービス、APIなどを外部公開している環境は、認証されていない外部の攻撃者から到達できる可能性があります。
Onapsisも、まずインターネットへ公開されたSAPシステムから優先的にパッチを適用するよう推奨しています。
3.内部SAPシステムも更新対象から外さない
インターネットへ公開していないSAPシステムでも、SAP GUIやRFC経路から脆弱なEPP処理へ到達できる可能性があります。
内部ネットワークへ侵入済みの攻撃者を想定すると、外部非公開であることだけでは十分な防御になりません。
4.開発・テスト・旧システムも棚卸しする
本番SAPだけではなく、開発、テスト、検証、旧環境も確認してください。非本番環境は本番データの複製を保持しながら、本番よりネットワーク分離や監視が弱い場合があります。
また、利用終了したつもりでもネットワーク上で待ち受けを続けている旧SAPシステムが残っていないか確認することも重要です。
5.ネットワーク制限は補助策として利用する
パッチ適用まで時間が必要な場合は、SAP GUIへの到達範囲をSAProuterや専用ジャンプホストで制限し、WebアクセスをWeb Dispatcherの背後へ集約するなど、不要な到達経路を減らします。
ただし、これはセキュリティノート3747649の代わりではありません。
6.不審なSAP・OS活動を監視する
パッチ展開中は、SAPアプリケーション層やOS上の不審な活動を監視し、想定外のプロセス実行、設定変更、認証情報へのアクセス、異常な通信などがないか確認します。
Onapsisは公開時点で実悪用を確認していないため、一般公開された確定的な侵害指標(Indicator of Compromise:IoC)だけで判定できる状況ではありません。通常の監視とベンダーからの追加情報を継続して確認する必要があります。
SAPの権限設定だけでは防げない
OVERPASSについて、SAPユーザーの権限を減らす、パスワードポリシーを強化する、多要素認証を追加するといった認証・認可対策だけでは根本的な防御になりません。
Onapsisによると、脆弱なEPP処理はセッション認証より前に実行されるため、SAPのロール、ユーザーロック、認可オブジェクト、ログオンポリシーなどが評価される前に攻撃経路へ到達します。
認証強化そのものはSAP環境の安全性向上に有効ですが、CVE-2026-44756への直接対策としてはKernelパッチが必要です。
まとめ
CVE-2026-44756「OVERPASS」は、SAP Extended Passport処理に存在するメモリ破損脆弱性です。SAPが付与したCVSS v3.1は最大の10.0で、ネットワーク経由、低い攻撃複雑性、事前権限不要、利用者操作不要と評価されています。
Onapsisの検証では、Web、SAP GUI、RFCという複数経路から認証前に脆弱なEPP処理へ到達し、SAPシステムを所有するOSアカウント権限で任意コマンドを実行できる可能性があります。
影響範囲は共有Kernelコードを利用する多数のSAP製品へ広がるため、製品名だけではなくSAPセキュリティノート3747649に基づいてKernelリリースとパッチレベルを確認することが重要です。
Onapsisは9月8日時点で実悪用を確認していません。しかし、認証不要、CVSS 10.0、複数通信経路から到達可能という条件から、パッチ適用を緊急優先事項としています。
まずインターネットへ公開されたSAP環境を優先し、その後、SAP GUIやRFCで到達可能な内部環境、開発・テスト環境、旧システムまで含めてセキュリティノート3747649を適用してください。ネットワーク制限は露出を減らす補助策として有効ですが、完全な対策はKernelパッチの適用です。
コメント