SAPを基幹ERPとして数千人規模で運用し、変更管理委員会（CAB、変更諮問委員会）を経てからでないと本番環境にパッチを適用できない企業のSAP Basisチームにとって、2026年8月11日のセキュリティパッチデーは判断を迫るものになった。SAPはこの日、新規セキュリティノート28件・GitHubセキュリティアドバイザリ1件・既存ノートの更新2件、合計31件を公開し、うち4件を最高区分のCritical（HotNews。SAPが最重要度に分類するセキュリティノート）に分類した[4]。最も深刻なのはSAP Commerce CloudのData Hub AdapterにあるCVSS10.0の脆弱性（Note 3771065）で、認証なしで到達できる範囲にリモートコード実行（RCE）の危険がある[1][4]。加えてNetWeaver ABAPのDIAGプロトコル処理にCVSS9.8（Note 3714806）、製造実行系のSAP MIIに2件のコード注入（CVSS9.9のNote 3765948・9.1のNote 3758900）が並ぶ[3][4]。通常の月次サイクルに乗せてよいのか、臨時CABで即応すべきか。確認できた事実を基に、優先順位づけの判断材料を整理する。
予備知識
- SAPセキュリティノート: SAPが定期的に公開する脆弱性修正情報。1件ごとに固有のノート番号が振られる。
- HotNews: セキュリティノートの中で最高深刻度に分類される区分。SAP公式ページ上の表記はCritical。CVSSが9点台のものが多いが、CVSSの値だけで機械的に決まるわけではない。
- CVSS: 脆弱性の深刻度を0〜10で数値化する共通指標。10.0が最高値。
- CAB（変更諮問委員会）: 本番環境への変更を審査・承認する社内の会議体。
SAP Basisチームが担う導入・運用の全体像を確認し、パッチ適用判断の前提知識を補える
CVSS10.0のSAP Commerce Cloud脆弱性、なぜ未認証で危険なのか
CVE-2026-58231はSAP Commerce CloudのData Hub Adapterに存在する認可不備で、CVSS基本値は最高値の10.0である[4]。SAPの公式ページではNote 3771065として公開され、影響を受けるのはCOM_CLOUD 2211および2211-JDK21である[4]。原因は認可チェックと入力検証の不足で、攻撃者はデフォルトの認証クライアントを悪用し、認証情報を持たないまま不正な入力を送り込める[1]。成功すればリモートコード実行に至り、内部コンポーネントの機密性・完全性・可用性すべてに高い影響が及ぶ[1]。修正版としてCommerce Cloud 2211.55、2211-jdk21.17以降への更新と、暫定策として脆弱なエンドポイントへのアクセスをIPフィルタセットで制限する方法が示されているが、これらの具体的なバージョン番号と暫定策はNote 3771065の内容をOnapsisが解説したものである[1]。ノート本文はSAP ONEサポートポータルの認証が必要なため、自社のS-userで原文を確認するのが確実である。
CABを含む変更管理プロセスの標準的な考え方を体系的に学べる
8月パッチデー31件のうち、Criticalの4件は残りと何が違うのか
2026年8月のパッチデーは新規28件・GitHubアドバイザリ1件・既存ノート更新2件の合計31件で構成され、SAP公式ページの一覧を深刻度別に数えるとCritical（HotNews）4件、High8件、Medium17件、Low2件になる[4]。Criticalの4件はCVSS10.0・9.9・9.8・9.1で、満点の10.0が1件含まれる[4]。High8件は8.8と8.1の2件を除けば7点台に収まり、認証や事前条件が伴うものが多い[4]。件数だけを見るとCriticalは全体の8分の1程度だが、影響を受ける基幹コンポーネントの範囲は広い[2][4]。
| 深刻度区分 | 件数 | 実際のCVSS |
|---|---|---|
| Critical（HotNews） | 4 | 10.0 / 9.9 / 9.8 / 9.1 |
| High | 8 | 8.8 / 8.1 / 7.9 / 7.6 / 7.6 / 7.3 / 7.3 / 7.0 |
| Medium | 17 | 4.2〜6.5 |
| Low | 2 | 3.8 / 3.7 |
ここで見落とせないのは、Criticalの下限が9.1で、Highの上限が8.8だという点である。SAPの区分はCVSSの閾値で機械的に切られているわけではなく、9.1のノートがCriticalに、8.8のノートがHighに置かれている[4]。後述するCAB運用の振り分けでCVSSの数値だけを基準にすると、SAP自身が最重要と判断したノートを取りこぼす。
Oracleのセキュリティアドバイザリが公開される2週間前から、攻撃者はすでに学校のネットワークを荒らし回っていた。米国のサイバー犯罪グループUNC6240（ShinyHunters）は、Oracle PeopleSoft Peop[…]
AS ABAPのDIAGプロトコルとMIIのコード注入、影響範囲がなぜ広いのか
CVE-2026-34265はNetWeaver/ABAPプラットフォームのカーネルがDIAGプロトコル（SAP GUIとアプリケーションサーバー間の通信プロトコル）を解析する処理のロジック不備で、CVSS9.8である[3][4]。攻撃者はディスパッチャサービスへのネットワーク到達だけで、認証情報も利用者操作も不要なまま攻撃でき、成功すれば機密情報の漏えいまたはシステムのクラッシュに至る[3]。SAP Security Note 3714806で修正されており、対象はKRNL64NUC・KRNL64UC・KERNELの広範なバージョンに及ぶ[4]。
製造実行系のSAP MIIでも同日、2件のコード注入が公開された。CVE-2026-44772（CVSS9.9、Note 3765948）はXMII 15.4/15.5とMII_ADMIN 15.4/15.5が対象で、CVE-2026-44758（CVSS9.1、Note 3758900）はXMII 15.4/15.5のみが対象である[4]。両者は必要な権限が異なり、後者はCVSSベクタがPR:H（高権限）で、高い権限を持つ攻撃者が検証を回避する入力を送り込むことでOSコマンドを実行できるという内容になる[5]。特権IDの管理状況によって露出度の見積もりが変わるため、2件を同じ緊急度で扱う前にベクタの違いを確認しておきたい。MIIに関するノートは8月だけで6件に上り、うち2件がCritical、3件がHigh、1件がMediumに分類された[4]。
数千人規模でServiceNowをITSM（ITサービスマネジメント、社内のIT問い合わせや変更管理を一元的に運用する仕組み）・CMDB（構成管理データベース、保有するITシステムの構成情報を一元管理する台帳）基盤として全社導入し、年次の[…]
CABでの優先順位づけ、CVSS10.0のノートをどう扱うべきか
振り分けの基準はCVSSの数値ではなく、SAPが付けた優先度区分に置くのが安全である。前述のとおり8月分ではCriticalの下限が9.1、Highの上限が8.8で、CVSSの閾値で線を引くとSAPがCriticalとしたNote 3758900が定例送りになってしまう[4]。SAPの区分は影響コンポーネントや悪用条件まで含めた判断であり、CVSSは補助指標として扱うのが実務に合う。
Critical（HotNews）は次回定例CABの開催を待たず、臨時CABでの審査対象とする運用が実務上の目安になる。定例サイクルに乗せた場合、承認から適用まで数週間かかることが珍しくなく、その間は未認証RCEが成立し得る脆弱性が本番環境に残る。High区分は事前条件（特定アクセス権や既存の設定不備）を伴うものが多く、次回定例CABでの審査でも実害の発生確率は相対的に低い。
| SAPの優先度区分 | 推奨対応期限の目安 | CAB運用 | CVSSの使い方 |
|---|---|---|---|
| Critical（HotNews） | 72時間以内 | 臨時CAB、緊急変更として審査 | 4件の中での着手順を決める補助指標 |
| High | 2週間以内 | 次回定例CABで優先審査 | 8点台を先に回す判断に使う |
| Medium以下 | 通常サイクル | 定例CABの通常審査 | 通常は参照のみ |
CVSS 10.0という最高評価を3本並べたCVEチェーンが、ブランチオフィスや中堅企業のネットワーク機器に広く使われるUniFi OSを直撃した。CVE-2026-34908（不正アクセス制御）・CVE-2026-34909（パス[…]
日本のSAP保守契約とCAB運用が、HotNews対応にどう影響するか
米欧の先行企業では自社のSAP Basisチームが判断からパッチ適用まで一貫して担うことが多いが、日本企業ではSIerへの保守委託が一般的で、HotNews公開から実際の適用までにベンダー側の検証工程が挟まる。稟議を通じて本番変更を承認する組織では、臨時CABの招集自体が通常の稟議ルートと別立てで用意されていないと、72時間以内の対応目標は形骸化しやすい。監査・内部統制の対象システムでは、緊急変更であっても変更管理記録を事後ではなく事前に整えることが求められ、この作業がパッチ適用そのものより時間を要する場合がある。
| 論点 | 米欧先行企業の傾向 | 日本企業の実情 |
|---|---|---|
| 適用判断の主体 | 自社Basisチームが直接判断 | SIerの保守契約範囲かを個別確認 |
| 緊急変更の枠組み | 臨時CAB・緊急変更が制度化 | 稟議ルートと別立ての緊急枠が未整備な例が多い |
| 変更管理記録 | 適用後の記録整備が中心 | 監査対応で事前の記録整備が必要な例が多い |
日本固有の事情としてもう一つ挙げておくと、セキュリティノートの本文はSAP ONEサポートポータルの認証（S-user）を通さないと読めない。保守をSIerに全委託している企業では、S-userの発行と権限管理がSIer側に寄っていることがあり、情シスが自力でノート原文を確認できないまま、ベンダー各社のブログ記事の要約で判断せざるを得なくなる。今回のように公開情報側で件数や分布に食い違いが出る事案では、この差が判断の質にそのまま効いてくる。
IT部門の判断は、SIerとの保守契約にCritical公開後の初動対応時間（SLA）が明記されているかを今週中に確認することであり、あわせて自社のS-userでノート原文にアクセスできるかを確かめておきたい。決裁側の判断材料は、SAPがCriticalに分類したノートに限り稟議を経ずに臨時CABを招集できる例外ルートを整備するかどうかである。
まとめ
2026年8月のSAPパッチデーは合計31件のノートを公開し、うち4件のCritical（HotNews）にCVSS10.0のCommerce Cloud脆弱性を含む。IT部門が次に取るべき一手は、自社が保有するCommerce Cloud（COM_CLOUD 2211系）・NetWeaver ABAPカーネル・MII（XMII 15.4/15.5）の各バージョンを棚卸しし、該当ノートの有無を確認することである。決裁側の判断材料は、Critical相当の脆弱性に対する臨時CAB招集ルートが自社に存在するかどうかである。振り分けの基準はCVSSの数値ではなくSAPの優先度区分に置く。今回のようにCriticalの下限（9.1）がHighの上限（8.8）に接近している月は、閾値運用がそのまま取りこぼしにつながる。
よくある質問（FAQ）
Q1. SAP Commerce Cloudを使っていない企業もこのパッチデーへの対応は必要ですか。
A. 必要である。NetWeaver ABAPのDIAGプロトコル脆弱性とMIIのコード注入は、Commerce Cloudとは別コンポーネントであり、AS ABAPやMIIを利用していれば対象になる[2][3]。
Q2. HotNewsのパッチはCABの承認を待たずに適用してよいですか。
A. 個々の企業の変更管理規程による。緊急変更として臨時CABを招集し、通常より短い審査で承認する運用が実務上の目安であり、承認手続き自体を省略してよいという意味ではない。
Q3. パッチ適用まで時間がかかる場合の暫定策はありますか。
A. SAP Commerce Cloudについては、脆弱なエンドポイントへのアクセスをIPフィルタセットで制限する暫定策が示されている[1]。MIIのCVE-2026-44758についても回避策の存在が指摘されている[2]。ただしいずれもベンダー各社の解説に基づく記述であり、適用可否と具体的な手順は該当ノート（3771065・3758900）の原文で確認する必要がある。
