SAPに危険度10.0の脆弱性 CVE-2026-58231、国内は注意喚起ゼロ

会社の会計・購買・在庫・人事を動かす業務システムの最大手SAPが、2026年8月11日に月次のセキュリティ修正を公開しました。今回そろったのは、危険度10.0が1件、9.9が1件、9.8が1件。しかも10.0と9.8はログインすら要りません。

重いのは9.8のほうです。基幹システムそのものの土台に穴があり、回避策が一つもありません。修正するにはシステムの中核部分を入れ替える必要があり、業務を止めての作業になる可能性が高いとされています。「夜間にこっそり当てておく」で済む種類ではありません。

そしてもう一つ、日本にいる読者にとって見過ごせない事実があります。8月12日時点で、JPCERT/CCにもIPAにもJVNにも、この件の掲載が一つもありません。国内のセキュリティ専門メディアも8月分を扱っていません。国内で2,000社以上が使っている製品で、日本語の一次情報が完全な空白のままになっています。

そもそもSAPとは何を動かしているのか

SAPはドイツ発の会社で、企業の業務を丸ごと1つのシステムで回すための製品を作っています。従業員は約11万人。同社自身の説明では、50年以上にわたって「財務・調達・人事・サプライチェーン・顧客対応」という、事業に欠かせない業務を統合してきたとされています。

具体的に何が起きるか、で考えると分かりやすくなります。SAPが止まると、伝票が起票できません。請求書が発行できません。月次の締めが進みません。倉庫の在庫数が更新されず、給与計算の元データも動かない。会社の「事務仕事の全部」が同じ1つのシステムに乗っているため、そこが止まると業務が広範囲で同時に止まります。

日本での普及も相当なものです。旧世代の「SAP ERP 6.0」だけでも国内2,000社以上が使っているとされ、しかもいま2027年問題の渦中にあります。この旧世代の標準サポートが2027年末に終わるため、各社が新世代への移行を迫られている——その移行作業の真っ最中に、旧世代も含む広い範囲に穴が見つかった、という状況です。

今回の3つの重い穴

全体では30件前後の修正が出ていますが、まず見るべきは次の3件です。優先順位は危険度の数字順ではありません——「ログインが要るか」「対処にどれだけ手間がかかるか」で並べています。

最優先：基幹の土台に穴、しかも回避策なし（CVE-2026-34265・9.8）

対象はNetWeaver ABAPという部分です。名前は聞き慣れなくても、これがSAPの心臓部にあたります。会計も購買も在庫も人事も、すべての業務処理がこの上で動いています。社員がSAPの画面を開いたとき、接続する先がここです。

穴があるのは、その画面とサーバーの間でやり取りする独自の通信手順を読み解く部分です。細工したデータを送りつけるとメモリの扱いが壊れ、システム内部の情報が漏れたり、システムそのものが落ちたりします。ログインは不要です。

この件がやっかいなのは、対処の重さです。回避策は用意されていません。そして修正は「カーネル」と呼ばれるシステムの中核部分の入れ替えになるため、システムを止めての作業になる可能性が高いとされています。影響を受ける版はKERNEL 7.22から9.19までと極めて広く、旧世代のSAPを使い続けている組織ほど確実に該当します。2027年問題で移行を検討している企業には、そのまま「移行を急ぐ理由」が1つ増えた形です。

危険度10.0：ネット通販基盤の「基幹とのつなぎ目」（CVE-2026-58231）

数字の上では今回最大の10.0です。対象はSAP Commerce Cloud——企業がネット通販サイトを構築するための基盤で、商品カタログ・カート・注文・価格・在庫連携を担当します。旧称を「hybris」といい、大手小売や製造業のECサイトの裏側で使われています。

重要なのは、穴があるのはECサイトの表玄関ではないという点です。問題の場所は「Data Hub Adapter」という部品で、ECサイトと基幹システムの間でデータをやり取りする連結部にあたります。商品マスタや注文データを基幹側から取り込む、いわばパイプの部分です。

ここで、初期設定のまま残っている認証用の窓口を悪用され、検証の甘い機能へ細工したデータを送り込まれます。成功すると任意のプログラムを実行され、内部の部品まで侵害されます。ログインは不要です。SAP自身の評価で「影響が製品の枠を越える」と判定されたため、10.0という数字が付いています。

影響を受けるのは COM_CLOUD の 2211 と 2211-JDK21。すぐに修正版を当てられない場合の暫定策として、該当する窓口へのアクセスをIPアドレスで絞り込む方法が案内されています。恒久的には、修正を取り込んだうえで作り直して配置し直す作業が必要です。

危険度9.9：工場と基幹をつなぐ部分（CVE-2026-44772）

3つ目はSAP MIIという製品です。これは工場の製造ラインで動いている装置や生産管理システムと、本社の基幹システムをつなぐ橋渡し役を担います。ここが押さえられると、生産実績が上がらず在庫数が狂う、という形で製造現場に影響が出ます。

穴の種類は、データを変換する処理に外部から命令を紛れ込ませられるものです。悪用には低い権限でのログインが必要なので、10.0や9.8とは危険の質が違います。ただし今回、MIIだけで6件が集中して修正されました（危険度9.1のものを含む）。この製品を使っている組織にとっては、今月がまとめて手を入れる月になります。

なお、この9.9の件は米国の脆弱性データベース（NVD）に8月12日時点でまだ登録されていません。危険度の根拠はSAP公式の一覧と、SAPを専門に扱うセキュリティ企業各社の集計です。番号で検索しても情報が出てこない可能性があるため、先に書いておきます。

件数が情報源によって割れています

この記事で「30件前後」というあいまいな書き方をしているのには理由があります。集計する側によって数字が割れているからです。情報源ごとに並べると、こうなります。

SAP公式の数字自体は確定しています。割れているのは各社の数え方です。外部のオープンソース勧告を1件に数えるかどうか、月の途中で出た更新を含めるかどうか、前月の更新ノートを「今月分」に入れるかどうか——この3点で差が出ています。

実務上、件数の違いは対処の優先順位を変えません。見るべきは「自社が使っている製品の行があるか」だけです。ただし、複数の記事を読み比べて数字が合わずに混乱する方が出るはずなので、割れている事実ごと書いておきます。

誰が狙い、何を持ち去るのか

SAPを狙うのは、企業の基幹データを人質に取って身代金を要求する犯罪集団と、国家に雇われた攻撃グループです。これは想像ではありません。この製品では過去に、両方とも実際に起きています。

2025年、NetWeaverの脆弱性（CVE-2025-31324、危険度10.0）が実際の攻撃に使われました。581システム分の侵害記録が見つかり、中国系とされる複数の攻撃グループの活動が確認されています。さらにBianLian、RansomEXX、Qilinという身代金要求型ウイルスの集団が、この穴を入口として使っていました。同じ年の9月には、新世代のS/4HANAでも実際の悪用が確認されています。

彼らがここで何をするかというと、まず基幹システムの中にあるデータを丸ごと抜き出し、そのうえで暗号化して業務を止めます。SAPの中にあるのは、顧客名簿・取引先の情報・原価・給与・在庫といった、会社の内側そのものです。持ち出されて困らないデータが一つもありません。

被害の出方は立場で分かれます。取引先や従業員にとっては、自分の情報が会社の外に出るという形で。会社にとっては、データを取られたうえに業務が止まるという二重の損害になります。過去に日本国内で起きた大規模な事例でも、基幹システムが止まって物流そのものが動かなくなった例があります。

今回のものは、まだ攻撃されていません

ここははっきり書いておきます。8月12日時点で、今回公表された脆弱性が実際の攻撃に使われたという報告はありません。SAPを専門に扱うセキュリティ企業各社も、そろって「悪用の報告なし」としています。

米政府CISAが公開している実際に攻撃が確認された脆弱性のリスト（KEV）を全1,665件照合しましたが、今回の分は1件も入っていません。

ただし、そのリストにはSAP関連が過去に14件登録されています。うち9件がNetWeaver——今回9.8が出た、まさにその製品です。そしてCommerce Cloudも2019年に一度登録されています。今回10.0が出た製品です。「まだ攻撃されていない」は「これから攻撃されない」を意味しません。この2製品には前科があります。

日本語の情報が、まだどこにもありません

今回の件で最も特徴的なのは、国内向けの情報が一つも出ていないことです。8月12日時点で確認した結果は次のとおりです。

これは「危険ではないから報じられていない」わけではありません。単に日本語圏がまだ追いついていないだけです。Microsoftの月例更新なら公表翌日にJPCERT/CCとIPAの両方から注意喚起が出ますが、SAPは国内での報道体制がそこまで整っていません。

つまり「国内で騒がれていないから大丈夫」という判断は、この製品については成り立ちません。SAPを運用している組織は、国内の注意喚起を待たずに、自社で公式のノートを確認する必要があります。

その他の注意すべき修正

上位3件のほかにも、いくつか触れておくべきものがあります。

開発ツールの権限昇格（CVE-2026-58243・8.8）。ABAP開発ツールのSQL実行画面を経由して、本来見えないはずの権限を取得できるものです。この件については、特定の権限設定を絞ることで暫定的に対処できると案内されています。

AI基盤の11件一括修正（CVE-2026-58230ほか・7.0）。SAPのAI関連基盤で使っている部品に11件のCVEがまとめて修正されました。ただし指定された更新先のバージョンが、記事執筆時点でまだ公開されていないとの指摘があります。該当する場合は提供状況を確認してください。

なお、Commerce Cloud向けの修正の中にCVE-2026-42945（8.1）が含まれていますが、これはSAP固有の穴ではありません。同社製品が内部で使っているWebサーバー部品（NGINX）の既存の脆弱性を取り込んだものです。同じ番号を別の文脈で見かけた読者が混乱しないよう、ここで整理しておきます。

今すぐやるべきこと

SAPの更新は、WindowsやWordPressのように「更新ボタンを押して終わり」ではありません。ノート番号を指定して個別に適用する形になり、業務システムなので検証も必要です。だからこそ順番が大事になります。

まず、自社が使っている製品を特定してください。SAPは製品群が広いため、今回の30件前後がすべて自社に関係することはまずありません。NetWeaver ABAPはSAPを使っていればほぼ確実に該当します。Commerce CloudはECサイトを運営している場合、MIIは工場を持っている場合に限られます。

次に、9.8のカーネル更新の計画を立ててください。これが今回いちばん時間のかかる作業です。回避策がないため先送りできず、しかし業務停止を伴う可能性がある。止める日を決めるところから始める必要があります。「いつ当てるか」を決めずに月末を迎えるのが最悪の展開です。

ECサイトを運営しているなら、10.0の暫定対処を先に打ってください。修正版の適用には作り直しと再配置が要りますが、該当する窓口へのアクセスをIPアドレスで絞る手当ては、それより早く打てます。無認証で狙える穴を開けたまま数週間過ごすより、まず間口を狭めるほうが確実です。

最後に、外部委託先との役割分担を確認してください。SAPの運用を外部のベンダーに任せている場合、パッチ適用の判断と作業が誰の責任なのかが曖昧なまま止まりがちです。国内の注意喚起が出ていない今回のようなケースでは、「先方から連絡が来ないから対象外なのだろう」という思い込みが特に危険です。

よくある質問

まとめ

2026年8月のSAPの修正で、まず動くべきは基幹の土台にあたるNetWeaver ABAPの9.8です。ログイン不要で、回避策がなく、修正には業務停止を伴う可能性がある。この3つがそろっているものは滅多にありません。数字だけなら10.0のCommerce Cloudが上ですが、対処の重さを含めると9.8のほうが先だというのが本記事の判断です。

救いは、今回の分はまだ実際の攻撃に使われていないことです。修正は出そろっており、いま動けば間に合います。ただしこの製品には、2025年に581システムが侵害され、複数の身代金要求型ウイルス集団が入口として使った前科があります。間に合ううちに動く、という選択肢が残っているのは今だけです。

そして、日本語での注意喚起はまだ出ていません。「国内で騒がれていない」を安全の根拠にしないでください。国内2,000社以上が使い、いま2027年問題で移行の真っ最中にある製品です。新しい情報が出次第、本記事を更新します。

参照元

• ▸SAP - Security Patch Day 2026年8月（公式のノート一覧）
• ▸NVD - CVE-2026-58231（Commerce Cloud・危険度10.0）
• ▸NVD - CVE-2026-34265（NetWeaver ABAP・危険度9.8）
• ▸Onapsis - SAP Security Patch Day 2026年8月の分析
• ▸SecurityBridge - SAP Security Patch Day 2026年8月の分析
• ▸Pathlock - SAP Patch Day 2026年8月の分析
• ▸SecurityWeek - SAP patches critical code injection, memory corruption vulnerabilities
• ▸CISA - Known Exploited Vulnerabilities Catalog（攻撃確認リスト）
• ▸Onapsis - CVE-2025-31324の実悪用分析（2025年の前例）
• ▸SecurityWeek - 身代金要求集団と中国系APTによるNetWeaver悪用
• ▸SAP - 会社概要（規模・事業領域）
• ▸関連記事：CISA KEV ダッシュボード（日本語版・当サイト）
• ▸関連記事：Oracle四半期パッチのまとめ（当サイト）