JPCERT/CCは、2026年8月19日公開の「JPCERT/CC Weekly Report 2026-08-19号」において、複数のSAP製品に脆弱性が存在すると公表した。対象は業務基盤として利用されやすいSAP製品群で、権限のない第三者による不正操作や情報漏えい等につながるおそれがある。JPCERT/CCは、今回修正された一部の脆弱性について悪用試行が確認されていることを紹介し、早期のアップデートを呼びかけている。
脆弱性の詳細
JPCERT/CCによると、複数のSAP製品で複数の脆弱性が報告されている。本件は「Weekly Report: 複数のSAP製品に脆弱性」として案内されており、影響の内容は製品・機能ごとに異なる可能性がある。SAPが提供するセキュリティノートや修正情報に基づき、該当製品を修正済みのバージョンへ更新することが重要である。
本入力情報にはCVE番号およびCVSSスコアの記載がないため、本記事内で特定のCVE番号・CVSSスコアを列挙できない。SAPのセキュリティノート（2026年8月分など）およびJPCERT/CCが公表した当該Weekly Reportで、対象となるCVE番号・深刻度（CVSS等）・攻撃条件（ネットワーク経由か、認証が必要か等）を確認して対応可否を判断する必要がある。
JPCERT/CCによると、脆弱性が悪用された場合、攻撃者が本来許されない操作を実行したり、機密情報へアクセスしたり、場合によっては業務停止につながる可能性がある。特にインターネットや社内の広い範囲から到達可能な構成、共通IDの運用、更新の長期未適用があると、被害が拡大しやすい。また、第三者による悪用試行が既に確認されている脆弱性も含まれるため、攻撃リスクは潜在的なものにとどまらず、現実的なものとなっている点に留意が必要である。
影響を受ける製品・バージョン
- SAP製品（複数）：JPCERT/CCは複数のSAP製品が対象であると公表しているが、対象製品・バージョンの詳細はSAPが提供するセキュリティノートおよびJPCERT/CCが参照するベンダ情報で確認する必要がある。
推奨される対策
- ベンダ提供の修正を適用：JPCERT/CCによるとSAP製品に脆弱性があるため、SAPが提供する更新プログラム（セキュリティ修正）を計画的かつ速やかに適用する。既に悪用試行が確認されている脆弱性も含まれることから、可能な限り早期の適用が望ましい。
- 影響範囲の特定：自社で利用しているSAP製品名、コンポーネント、導入形態、バージョンを棚卸しし、SAPのセキュリティノートに記載された対象一覧と照合して、今回の案内に該当するか確認する。
- 到達可能性の見直し：外部公開の有無、社内セグメント間の到達性、管理系インタフェースの公開状況を確認し、不要な公開を停止する。特にインターネットから到達可能な管理画面やAPIが存在する場合は、緊急にアクセス制御の強化や公開停止を検討する。
- 権限と認証の点検：共有アカウントの廃止、強固な認証、最小権限の徹底により、脆弱性が悪用された場合の影響を抑える。特権アカウントやシステムアカウントの運用状況についても見直しを行う。
- 監視とログ確認：認証失敗の急増、不審な管理操作、想定外の通信などの兆候がないか、ログと監視を強化する。既に悪用試行が確認されていることを踏まえ、脆弱性公開前後のログも含めて遡及的な確認を行うことが望ましい。
日本の中小企業が今すぐ取るべき行動
- 資産の確認（最優先）：利用中のSAP製品名・バージョン・稼働環境（本番/検証）を洗い出し、SAPのセキュリティノートに記載された対象かどうかを判断できる状態にする。
- 保守先への確認：担当ベンダー／保守会社に、今回のJPCERT/CCの案内およびSAPセキュリティノートに対する影響有無と、適用すべき修正の有無・手順・停止時間を確認する。あわせて、悪用試行が確認されている脆弱性への対応方針も確認する。
- パッチ適用計画の確定：検証環境で事前確認のうえ、本番適用日程を決め、バックアップとロールバック手順を用意する。停止時間や業務影響を最小化できるよう、関係部門と調整したうえでスケジュールを確定する。
- 外部公開の緊急点検：インターネットから到達可能な管理画面や不要サービスがないか確認し、不要な公開は停止する。到達可能性の見直しと合わせて、VPNやゼロトラスト的なアクセス制御の導入・強化も検討する。
- 監視の強化：当面は管理者ログインや権限変更など重要操作のログを重点的に確認し、異常時の連絡体制を明確化する。特に、脆弱性公表後のタイミングで不審なアクセスが増加していないか注視する。
CSRIからの現場アドバイス
実際のペネトレーションテストでは、業務影響を恐れてパッチ適用が先送りされ、古いコンポーネントが残っているケースが目立つ。診断報告書でよく指摘されるのが、管理系画面の到達性と過剰権限の運用で、脆弱性と組み合わさると被害が拡大しやすい。
例えるなら、社内の重要な部屋（基幹業務）に続く扉の鍵が古く、合鍵が出回ってしまうようなものだ。つまり、直すべき欠陥が残ったままだと、第三者が許可なく操作やのぞき見をできる可能性があるため、早めの修正が必要になる。
まず自社のSAP製品名とバージョン、外部公開の有無を棚卸しする。次に担当者（またはベンダー）に、今回のJPCERT/CCの案内に該当する修正の有無と適用手順、停止時間の見積りを依頼する。最後に検証環境で影響確認を行い、本番適用日を確定する。