SAP 2026年7月パッチデー - NetWeaver AS ABAP の CVSS 9.9 メモリ破壊とApprouterのHTTPリクエストスマグリング
当サイトは Amazon.co.jp を宣伝しリンクすることで紹介料を得る手段を提供する、Amazonアソシエイト・プログラムの参加者です。価格・在庫はリンク先の最新情報をご確認ください。
企業の基幹システムを支える SAP は、2026年7月14日のセキュリティパッチデーで16件の新規セキュリティノート（更新分を含め約20件）を公開し、そのうち3件が CVSS 9.0以上の「重大」に分類されました。最も深刻なのは、NetWeaver Application Server ABAP のカーネルに潜むメモリ破壊脆弱性 CVE-2026-44747 で、CVSS スコアは 9.9 に達します。
当ブログではこれまで、SharePoint Server の RCE 脆弱性 CVE-2026-45659 や Adobe ColdFusion の最大深刻度パッチ など、基幹・エンタープライズ製品の重大脆弱性を追ってきました。SAP のパッチデーも同じく、放置すれば事業継続に直結するクラスの脆弱性群です。本記事では、確認できた一次〜準一次情報だけをもとに、今回の3件が何を突くのか、そして情シス・運用担当が今すぐ何をすべきかを整理します。
NOTE
本記事の CVSS・日付・SAP Note番号は、2026年7月時点で SAP 公式のセキュリティノート一覧（support.sap.com）および関連報道（SecurityWeek、GBHackers、securityonline.info、Onapsis）で確認した内容です。CVE-2026-44747 の認証要否については報道間で表現に差があり、本文で「要確認」と明示しています。個別の悪用手口やKB相当の詳細は SAP の該当ノートでご確認ください。
概要（まず結論）
今回の重大3件を先にまとめます。
| CVE | 製品 | 種別 | CVSS | SAP Note |
|---|---|---|---|---|
| CVE-2026-44747 | NetWeaver AS ABAP | メモリ破壊 | 9.9 | 3747367 |
| CVE-2026-27690 | Approuter | HTTPリクエストスマグリング | 9.1 | 3720138 |
| CVE-2026-44761 | Commerce Cloud | サンプル認証情報の放置 | 9.1 | 3753495 |
- 公開日: 2026年7月14日（SAP セキュリティパッチデー）。
- 件数: 新規16件のセキュリティノート（更新を含め約20件）。うち重大が3件。
- 悪用状況: 各報道時点で「実際の悪用（in-the-wild）は報告なし」とされていますが、CVSS 9.x クラスであり早期適用が推奨されます。
対策の要点を先に言えば、該当する SAP Note のパッチを優先度高で適用すること、そしてNetWeaver / Approuter を不必要にインターネット公開しないことです。詳細は後述します。
CVE-2026-44747: NetWeaver AS ABAP のメモリ破壊（CVSS 9.9）
今回の目玉が、SAP NetWeaver Application Server ABAP のカーネルに存在するメモリ破壊脆弱性です。SAP Note 3747367 で修正されています。
SAP の説明によれば、攻撃者はメモリ管理の論理的な欠陥を悪用することで、対象のカーネルにメモリ破壊を引き起こせます。その結果、権限のないデータの参照・改ざん、あるいはシステムの停止（可用性の喪失）につながりうるとされています。CVSS 9.9 という数値は、機密性・完全性・可用性のいずれにも深刻な影響がありうることを示しています。
影響を受けるのはカーネル層で、報道では KERNEL 7.22 から 9.20、および KRNL64 系（KRNL64NUC / KRNL64UC）といった広範なリリースが挙げられています。レガシーから比較的新しい NetWeaver 環境まで横断的に影響しうる点が厄介です。
WARNING
CVE-2026-44747 の認証要否は、情報源によって表現が分かれています。SecurityWeek は「認証不要（unauthenticated）」と報じる一方、GBHackers は「低権限（low-privileged）の攻撃者がリモートで悪用可能」、securityonline.info は「認証済み攻撃者」と表現しています。CVSS 9.9 という数値からは低権限（PR:L）以上の攻撃ベクトルが想定されますが、正確な条件は SAP Note 3747367 の記載で要確認です。いずれにせよ、放置してよい理由にはなりません。
追記（2026-10-07）: NVD に登録された CVE-2026-44747 の説明（CNA は SAP）は「allows an authenticated attacker」で、CVSS ベクタは CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H です。SAP 自身の評価では認証済み（低権限）の攻撃者が前提で、「認証不要」とする報道は一次情報と一致しません。Approuter の CVE-2026-27690 は NVD でも「unauthenticated attacker」（PR:N）です。
メモリ破壊（memory corruption）は、バッファオーバーフローや解放後利用（use-after-free）のように、プログラムが本来書き込むべきでない領域を上書きしてしまう欠陥の総称です。ABAP アプリケーション層ではなく C/C++ で書かれたカーネル層に起因するため、ABAP コードの修正では防げず、カーネルパッチの適用が必須になります。カーネル更新は再起動を伴うため、ダウンタイムの計画とセットで進める必要があります。
CVE-2026-27690: Approuter のHTTPリクエストスマグリング（CVSS 9.1）
Web エンジニアにとって身近なのがこちらです。SAP Approuter に、HTTPリクエストスマグリング（HTTP Request Smuggling）の脆弱性が見つかりました。SAP Note 3720138 で修正されています。
Approuter は、SAP BTP（Business Technology Platform）のアプリケーションで、フロントのエントリポイントとして認証やルーティングを担うコンポーネントです。今回の脆弱性は、非 Cloud Foundry 環境において、細工した HTTP リクエストでフロントのプロキシとバックエンド間の「リクエストとレスポンスの対応関係」を崩す（デシンクさせる）ことで、他ユーザーのデータ露出やサービス拒否（DoS）を引き起こしうるとされています。報道では、この脆弱性は認証不要で悪用可能とされています。
リクエストスマグリングは、フロントのプロキシとバックエンドが HTTP リクエストの「どこまでが1件か」を異なる基準で解釈することに起因します。典型的には Content-Length と Transfer-Encoding: chunked の解釈差を突いて、1つの TCP コネクションに「密輸した」もう1件のリクエストを紛れ込ませます。処理の流れを図にすると次のようになります。
この結果、後続の正規ユーザーのリクエストに攻撃者のペイロードが割り込んだり、キャッシュ汚染やアクセス制御のバイパスが起きたりします。HTTP のステータスやヘッダの扱いは HTTP ステータスコードの基礎 でも触れていますが、プロキシ多段構成では「境界の解釈をそろえる」ことが安全性の要になります。
なお、securityonline.info の整理では、この Approuter の問題は内部で利用する Node.js パッケージが 20.10.0 未満であることに関連するとされています。SAP Note のパッチ適用が基本ですが、依存コンポーネントのバージョンにも注意が必要です。
CVE-2026-44761: Commerce Cloud のサンプル認証情報放置（CVSS 9.1）
3件目は、SAP Commerce Cloud に残っていたサンプル用の OAuth2 クライアント設定に、公開文書化された認証情報がそのまま含まれていたという問題です。SAP Note 3753495 で修正されています。影響は HY_COM 2205、COM_CLOUD 2211 系などです。
サンプルの OAuth2 クライアントを本番に残したままにすると、公開ドキュメントに載っている認証情報を使って、認証を経ずにアクセストークンを取得され、データの参照・改ざんが可能になりうる、という構造です。いわゆる「ハードコードされた認証情報」「デフォルト認証情報の放置」に分類される古典的かつ強力なパターンです。
この種の事故は SAP に限りません。当ブログでも git にシークレットが漏れる26のパターンを教材化した leak-museum や 環境変数とシークレット管理 で繰り返し取り上げてきました。OAuth2 のトークン発行フローそのものは OAuth2 / OIDC の認可フロー で解説しています。サンプルやデモ用のクレデンシャルは、本番デプロイ前に必ず棚卸しして無効化するのが鉄則です。
実務での対応
エンタープライズ環境での SAP パッチ適用は、単なる apt upgrade のような手軽さでは進みません。以下の順で進めるのが現実的です。
- 資産の棚卸し: NetWeaver AS ABAP のカーネルバージョン、Approuter の稼働環境（Cloud Foundry か否か）、Commerce Cloud のバージョンを確認し、該当有無を切り分けます。
- 優先順位付け: インターネット公開されている、または多数の一般ユーザーがアクセスできるシステムを最優先にします。特に Approuter はフロント面に立つため、外部公開されているケースが多い点に注意します。
- SAP Note の適用: 3747367（NetWeaver）、3720138（Approuter）、3753495（Commerce Cloud）を、検証環境で先行適用してから本番へ展開します。カーネル更新は再起動を伴うため、メンテナンスウィンドウを確保します。
- 暫定緩和: 即時にパッチを当てられない場合、WAF やネットワークセグメンテーションで攻撃面を縮小します。ただしメモリ破壊やスマグリングは緩和策だけで完全には塞げないため、あくまで時間稼ぎと捉えます。
- 棚卸しと検知: Commerce Cloud のサンプル OAuth2 クライアントが本番に残っていないか確認し、異常なトークン発行やリクエストのデシンク挙動をログで監視します。
SAP のようなミッションクリティカルな基盤では、「動いているから触らない」が最大のリスクになりがちです。定期パッチデーの情報を継続的に追い、四半期ごとにでも適用計画を回す運用が望まれます。国内のインシデント動向は 2026年 日本のセキュリティインシデント でも継続的にまとめています。
まとめ
- 2026年7月14日の SAP パッチデーは、CVSS 9.0以上の重大脆弱性を3件含みます。
- 最重要は NetWeaver AS ABAP のメモリ破壊 CVE-2026-44747（CVSS 9.9、SAP Note 3747367）。カーネル層のためカーネルパッチが必須で、再起動を伴います。
- Approuter の HTTPリクエストスマグリング CVE-2026-27690（CVSS 9.1、SAP Note 3720138）は認証不要で悪用可能とされ、フロント面に立つため優先度が高いです。
- Commerce Cloud のサンプル認証情報放置 CVE-2026-44761（CVSS 9.1、SAP Note 3753495）は、デフォルト・サンプルのクレデンシャルを本番に残さないという基本の再確認を促します。
- いずれも公開時点で実際の悪用報告はないものの、CVSS 9.x クラスであり、検証を経た早期適用が現実的な最善策です。
参考リンク
- SAP Security Patch Day - July 2026（SAP 公式）
- SAP Patches Critical Vulnerabilities in NetWeaver, Approuter, Commerce Cloud（SecurityWeek）
- SAP Patch Day July 2026: CVE-2026-44747（securityonline.info）
- SAP July 2026 Patch Day Fixes Critical NetWeaver, Approuter, and Commerce Cloud Vulnerabilities（GBHackers）
- SharePoint Server の RCE 脆弱性 CVE-2026-45659
- Adobe ColdFusion の最大深刻度パッチ APSB26-68
- OAuth2 / OIDC の認可フロー入門
- 環境変数とシークレット管理
- git シークレット漏洩26パターン教材 leak-museum
