Onapsis verbessert die Sicherheit von SAP-Anwendungen mit neuen Automatisierungsfunktionen für mehr Transparenz und Sicherheit.

Artikel von Onapsis

Das SAPMAP Toolkit bietet Exploits für SAP-Schwachstellen. Schützen Sie Ihre Systeme mit den Empfehlungen der Onapsis Research Labs.

Malicious hackers are targeting SAP applications at an alarming pace, according to warnings from Onapsis and Flashpoint.

SAP veröffentlicht 19 Sicherheitspatches im Januar 2026, darunter sechs HotNews-Hinweise. Kritische SQL-Injection-Lücke in S/4HANA mit CVSS 9.9 behoben. Onapsis Research Labs beteiligt.

From a teenage pen tester in Argentina to CEO of Onapsis, the market leader in business-critical application security.

エンタープライズソフトウェアメーカーのSAPは火曜日、2025年11月のセキュリティパッチの一環として、新たに18件と1件の更新されたセキュリティノートを発表しました。 最も重要なSAPの2025年11月のノートは、SQL Anywhere Monitorにおける安全でないキーおよびシークレット管理の脆弱性（CVE-2025-42890、CVSSスコア10/10）に関するものです。 このバグは、SQL Anywhere Monitorにハードコードされた認証情報が存在するため、影響を受けるシステムで任意のコードを実行される可能性があり、システムの機密性、完全性、可用性に影響を及ぼします。 この問題を解決するために、SAPはSQL Anywhere Monitorを完全に削除したと、エンタープライズアプリケーションセキュリティ企業のOnapsisは述べています。 「一時的な回避策として、SAPはSQL Anywhere Monitorの使用を中止し、SQL Anywhere Monitorデータベースのインスタンスをすべて削除することを推奨しています」とOnapsisは述べています。 火曜日、SAPはまた、Solution Managerにおける重大度の高いコードインジェクションの欠陥（CVE-2025-42887、CVSSスコア9.9）に対する修正も公開しました。この脆弱性は、リモート対応のファンクションモジュールがユーザー入力を適切にサニタイズしなかったため、攻撃者が悪意のあるコードを注入できる可能性がありました。 さらに、ソフトウェアメーカーは2025年10月のセキュリティパッチデーに公開されたセキュリティノートを更新し、NetWeaver AS Javaにおける最近の安全でないデシリアライズ脆弱性への保護を強化しました。このノートは、CVSSスコア10/10のセキュリティ欠陥であるCVE-2025-42944に対応しています。 SAPの新しいパッチはまた、CommonCryptoLibにおける重大度の高いメモリ破損の脆弱性（CVE-2025-42940、CVSSスコア7.5）も修正しています。 「境界チェックが欠如しているため、攻撃者が悪意のあるデータを送信し、メモリ破損やアプリケーションのクラッシュを引き起こす可能性があります」とOnapsisは説明しています。 SAPの2025年11月セキュリティパッチデーで公開された残りのノートは、HANA JDBC Client、Business Connector、NetWeaver、S/4HANAランドスケープ、HANA 2.0、SAP GUI for Windows、Starter Solution、Business One、S4COREにおける中程度および低度の脆弱性に対応しています。 10月と11月のパッチの間に、SAPは6件のセキュリティノートの更新を実施しており、その中にはSupplier Relationship Managementにおける重大度の高い無制限ファイルアップロードの問題に対応した2025年10月のノートも含まれています。 CVE-2025-42910（CVSSスコア9.0）として追跡されているこの欠陥は、認証された攻撃者が悪意のある可能性のあるファイルをアップロードできる可能性があります。更新されたノートには有効性に関する追加情報が含まれています。 SAPは、パッチが適用された脆弱性が実際に悪用されたという言及はしていません。ユーザーは、SAPの脆弱性が脅威アクターの人気の標的であるため、できるだけ早くセキュリティノートを適用することが推奨されています。 翻訳元:

エンタープライズソフトウェアメーカーのSAPは火曜日、2026年1月のセキュリティパッチデーの一環として、新たに17件のセキュリティノートを公開したと発表した。うち4件は重大度クリティカルの脆弱性に対処している。 SAPの2026年1月アドバイザリにおける最初のノートは、S/4HANAに存在する重大なSQLインジェクションの不具合であるCVE-2026-0501（CVSSスコア9.9）を解決するものだ。 この問題は、ネイティブSQL文の実行にABAP Database Connectivity（ADBC）フレームワークを利用する、Remote Function Call対応モジュールに影響する、と当該バグを発見して報告したOnapsisは説明している。 「このSQL文は入力パラメータを通じて提供され、攻撃者が任意のSQLコマンドを実行できる。悪用に成功すると、システムは完全に侵害され得る」と、同セキュリティ企業は指摘している。 SAPが火曜日に対処した2つ目の重大な不具合は、Wily Introscope Enterprise Managerにおけるリモートコード実行（RCE）の問題であるCVE-2026-0500（CVSSスコア9.6）だ。 Onapsisによると、このアプリケーションでは、認証されていない攻撃者がURL経由でアクセス可能な悪意あるJNLP（Java Network Launch Protocol）ファイルを作成できる。 被害者がそのようなURLをクリックすると、Wily Introscope Serverが被害者のアプリケーション上でコマンドを実行し、アプリケーションの機密性、完全性、可用性に影響を及ぼす。 3つ目はCVE-2026-0498（CVSSスコア9.1）で、S/4HANAにおけるコードインジェクションの脆弱性と説明されており、OSコマンドインジェクションやシステムの完全な侵害につながる可能性がある。 このバグは、「リモート対応の関数モジュールが、管理者権限を持つ攻撃者に対し、必須の認証チェックを強制することなく既存プログラムのソースコードを任意に改変できてしまう」ことに起因すると、Onapsisは説明している。 SAPの2026年1月セキュリティパッチデーで対処された4つ目の重大度クリティカルの欠陥は、Landscape Transformationにおけるコードインジェクションの不具合であるCVE-2026-0491（CVSSスコア9.1）だ。Onapsisによれば、これは同じ脆弱な関数だが、「影響を受けるコンポーネントは別個のDMISアドオンとして提供されている」という。 火曜日、SAPはHANAデータベース、Application Server for ABAPおよびNetWeaver RFCSDK、Fiori App、ならびにNetWeaver Application Server ABAPとABAP Platformにおける高深刻度の脆弱性に対処する4件のセキュリティノートも公開した。 これらの不具合が悪用されると、攻撃者が権限を管理者に昇格させたり、特別に細工したコンテンツをアップロードして任意のコマンドを実行したり、認可の欠如により権限昇格したり、リモート対応の関数モジュールを悪用してフォームルーチンを実行したりできる可能性がある。 SAPの2026年1月アドバイザリに含まれる残り9件のセキュリティノートは、ERP Central ComponentおよびS/4HANA、NetWeaver、Business Connector、Supplier Relationship Management、Fiori App、Business Server Pages Application、Identity Management、ならびにNW AS Java UME User Mappingにおける中・低深刻度の欠陥を解決する。 脆弱なSAPアプリケーションは脅威アクターにとって魅力的な標的であるため、組織は最新のSAPセキュリティノートを確認し、できるだけ早くパッチを適用するよう推奨される。 翻訳元:

NetWeaver AS Javaの重大度10の脆弱性は、認証されていない攻撃者が任意のOSコマンドを実行できるものであり、NTLMのバグは悪用される可能性が高いとセキュリティベンダーが警告しています。 自社環境にSAP NetWeaver AS Javaサーバーを持つCISOは、管理者が2つの非常に重大な脆弱性をできるだけ早く修正するように注意すべきです。 これらは、本日複数のベンダーから発表された月例パッチチューズデー修正の中でも最も重要なものの一部です。 最も深刻なNetWeaverの脆弱性、CVE-2025-42944は、CVSSスコア10で、AS JavaのRMI-P4モジュールにおける安全でないデシリアライズの脆弱性です。 「この脆弱性は、認証されていない攻撃者が悪意のあるペイロードをオープンポートに送信することで任意のOSコマンドを実行できるものです」とOnapsisのセキュリティ研究者は指摘しています。「攻撃が成功すると、アプリケーションが完全に侵害される可能性があります」と彼らはブログで述べています。 パッチを適用するまでの一時的な回避策として、管理者はICMレベルでP4ポートフィルタリングを追加し、未知のホストがP4ポートに接続できないようにするべきです。 この脆弱性は、研究者がScattered LAPSUS$ ShinyHuntersと呼ぶ脅威グループが数週間前に公開した攻撃と同様の手法で悪用される可能性があります、とOnapsis CTOのJuan Pablo Perez-Etchegoyen氏はCSOに語りました。「この脆弱性が認証不要でデシリアライズ脆弱性であるという事実だけでも非常に重大です」と彼は述べています。「防御側にとって良い点は、この脆弱性は通常インターネットに公開されていないRMI-P4 SAPプロトコル経由で悪用されることです。」 デシリアライズの脆弱性はNetWeaverのような製品でよく見られると、SANS Instituteの研究部長Johannes Ullrich氏はCSOに語りました。例えば、彼によれば、NetWeaverの直接の競合であるOracle WebLogicも同様の脆弱性に多数影響を受けています。 2番目に深刻なNetWeaver AS Javaの脆弱性はCVSSスコア9.9の安全でないファイル操作の脆弱性です。このサービスの欠陥により、管理者権限を持たない認証済みユーザーが任意のファイルをアップロードできます。ファイルが実行されると、システムが完全に侵害される可能性があります。Perez-Etchegoyen氏は、この脆弱性はHTTP経由で悪用できるため非常に重大だと指摘しています。ただし、悪用には認証済みユーザーが必要なため、攻撃者にとっては追加の障壁となります。 また、IBM iシリーズ上で稼働するNetWeaverアプリケーションにおいて、認証チェックが欠如しているために、高権限の未承認ユーザーが機密情報の読み取り、変更、削除、さらには管理機能や特権機能へのアクセスが可能となる脆弱性も修正が必要です。この脆弱性はCVSSスコア9.1です。 Perez-Etchegoyen氏は、CISOが本日の最も重大な修正（CVSS 9.9および10のもの）について、できるだけ早く対応するようスタッフに指示することを推奨しています。 しかし、彼はさらに、8件のHotNewsおよびHigh Priority Notesも重要であり、優先順位付け、分析、理想的にはできるだけ早く対応する必要があると付け加えています。 Microsoftのパッチ 一方、Microsoftは9月のパッチチューズデーの一環として、ゼロデイを含む13件の重大な脆弱性の修正をリリースしました。 今年3回目となるが、Microsoftはリモートコード実行の脆弱性よりも権限昇格の脆弱性を多く修正したと、TenableのシニアスタッフリサーチエンジニアSatnam Narang氏は指摘しています。今月のバグのほぼ半数が権限昇格の脆弱性です。Narang氏は、こうしたタイプの脆弱性の多くは、攻撃者がまずターゲットシステムにアクセスした後（侵害後）に権限昇格を試みる必要があると付け加えています。 SMB修正を巡る論争 今月修正されたゼロデイ脆弱性の一つは、CVE-2025-55234で、Windows Server Message Block（SMB）における権限昇格の脆弱性ですでに公に公開されています。Microsoftによれば、一部の構成では、この脆弱性によりSMBサーバーがリレー攻撃にさらされる可能性があります。このパッチは、顧客が環境を監査・評価し、SMBサーバーの強化機能を利用する前に非互換性の問題を特定できるようにするためにリリースされたようだとNarang氏は述べています。 このパッチは、9月のパッチの中で展開以外の追加作業が必要な例だと、Action1の社長Mike Walters氏はコメントしています。組織はまず監査を有効にするためのアップデートを展開し、その後互換性を評価してから、署名や認証の拡張保護の実装などのSMBサーバー強化措置を取る必要があります。CISOは、業務への影響を避けるために、評価・テスト・実装を含む段階的なアプローチを計画すべきだとWalters氏は助言しています。

Onapsis urges SAP customers to patch “Overpass” vulnerability, which has a CVSS score of 10.0

10,000件を超えるインターネット公開SAPシステムが、SAPカーネルの最大深刻度の脆弱性の影響を受ける可能性があると、セキュリティベンダーのOnapsisが警告しています。 同社のOnapsis Research Labs(ORL)は、SAP Extended Passport(EPP)処理におけるメモリ破

A single, carefully crafted request can slip past SAP's login check, reach the kernel, and hand an attacker complete command of the server. Consequently, the intruder gains far more than the application itself. They also seize credentials, live sessions, financial records, and a company's most sensitive business data. This alarming scenario belongs to a newly disclosed flaw. Security researchers have named it OVERPASS, and its severity is difficult to overstate.

SAP patches CVE-2026-44756, an unauthenticated EPP memory corruption flaw that enables remote OS command execution with SAP admin privileges.

9. syyskuuta 2026 SAP julkaisi osana syyskuun Security Patch Day -päivitystä tietoturvailmoituksia, jotka käsittelevät kahta kriittistä haavoittuvuutta, jotka vaikuttavat laajaan valikoimaan SAP-tuotteita. Vakavimpia on CVE-2026-44756 (CVSS 10.0), muistinhallintahaavoittuvuus SAP Extended Passport (EPP) -käsittelyssä, jonka Onapsis Research Labs (ORL) on antanut lempinimellä "OVERPASS" ja jonka se löysi sekä paljasti vastuullisesti. Toinen on CVE-2026-58240 (CVSS 9.8), jonka lempinimi on "S4GET", puuttuva todentamistarkistus SAP NetWeaver Message Serverissa. Molemmat ovat etäyhteyden kautta hyödynnettävissä ilman todentamista. Raportoivien tutkijoiden mukaan kumman tahansa onnistunut hyödyntäminen voi johtaa mielivaltaisten käyttöjärjestelmän komentojen suorittamiseen SAP-asennuksen omistajan tunnuksella, mikä johtaa vaikuttuvan järjestelmän ja sen sisältämien liiketoimintatietojen täydelliseen vaarantumiseen. CERT-EU suosittelee vahvasti soveltamista

SAP released the September 2026 patch for CVE-2026-44756, a maximum-severity kernel vulnerability that allows unauthenticated remote command execution with administrative privileges. Onapsis Research Labs, which discovered the flaw codenamed OVERPASS, estimates over 10,000 internet-exposed SAP syste

SAPは2026年9月のセキュリティアップデートで、複数製品にまたがる20件の脆弱性を修正しました。この中には、SAPカーネルコードにおける最大深刻度のメモリ破損の欠陥も含まれています。 CVE-2026-44756として追跡され、この脆弱性を報告したOnapsisのセキュリティ研究者らによって「OVERPASS」と

A SAP lançou as suas atualizações de segurança de setembro de 2026, corrigindo 20 vulnerabilidades nos seus diversos produtos. De acordo com os detalhes partilhados pela Onapsis, o grande destaque deste mês é a resolução de uma falha de corrupção de memória de gravidade máxima localizada no código d

A report by Onapsis analyzed AI cybersecurity challenges for organizations.