概要
SAPは2026年9月のセキュリティパッチデーで、SAPカーネルのExtended Passport Protocol(EPP)処理ライブラリに存在するメモリ破損の脆弱性「OVERPASS」(CVE-2026-44756)を公表し、修正パッチを提供した。深刻度はCVSSスコアで満点の10.0と評価されており、権限を持たない遠隔の攻撃者が認証なしにSAP管理者権限で任意のOSコマンドを実行できる恐れがある。SAPセキュリティ専門企業Onapsisの推計では、インターネットに公開されているSAPシステムのうち1万台以上が影響を受ける可能性があるとされ、現時点で悪用の証拠は報告されていないものの、早急なパッチ適用が強く推奨されている。
技術的な詳細
OVERPASSの根本原因は、EPPデータの逆シリアル化処理における境界検証の欠落にある。外部から供給される長さフィールドを検証せずに処理することでメモリ安全性違反が発生し、特別に細工されたリクエストによって攻撃者が制御を奪取できる。この脆弱なコードはセッション確立前、すなわち認証や認可、SoD(職務分掌)制御などの標準的なセキュリティチェックが働く前の段階で実行されるため、ユーザー権限の制限やアカウントロックといった通常の対策が意味をなさない点が特に危険視されている。
さらに、EPP処理は複数のプロトコルで共有されるコードであるため、Webリクエスト、SAP GUIプロトコル、RFC接続という少なくとも3つの経路から同一の脆弱なコードパスに到達できる。影響を受ける製品はS/4HANA、ERP、Business Suite(ECC)、NetWeaver、Web Dispatcher、BW/4HANA、Enterprise Portal、PI/POなど、SAPの主要製品群に及ぶ。CVSS10.0という最高評価は、認証不要でインターネット越しに直接攻撃可能である点、特別に細工したネットワークリクエストのみで即座に悪用できる点、SAP管理者権限への完全な権限昇格が可能な点、そして複数の経路から到達できる点が組み合わさった結果である。
想定される被害と影響範囲
脆弱性が悪用された場合、攻撃者は任意のシステムコマンドを実行できるだけでなく、SAPのsecure storeからデータベースの認証情報を抽出したり、ログイン中のユーザーのセッションデータを読み取ったりできるとされる。これにより他のSAPシステムへ横展開するための認証情報を窃取することも可能で、アプリケーションデータやSAPバイナリの改ざんにもつながりかねない。Onapsisは、HTTPでアクセス可能なシステムのみをカウントしても1万台以上が対象になるとしており、RFCなど他の経路も含めれば実際の露出台数はさらに多い可能性があると指摘している。
今後の対応
SAPおよびOnapsisは、すべてのSAPシステムの棚卸しを行った上で、特にインターネットに公開されているシステムを優先してパッチを適用するよう推奨している。あわせて、悪用の兆候がないか監視体制を強化することも呼びかけられている。現時点で実際の悪用は確認されていないが、認証不要かつ複数プロトコルから到達可能という性質上、脆弱性の詳細が広く知られるにつれて攻撃コードが出回るリスクは高く、企業のSAP運用担当者には迅速な対応が求められる。