SAP S4CRMのコード実行脆弱性、修正Noteが公開
SAPのS4CRMなどに、低権限のアカウントから任意のコードを実行されかねない脆弱性が公表されました。CRM系コンポーネントを使う企業は、対象版かを調べ、SAP Security Note 3834842を確認して適用してください。
急ぎ度: 早めに
CVSS v3は9.9で、低権限のアカウントからネットワーク越しにコードを実行され得ますが、公表は当日で、実際の悪用の確認は伝えられておらず、修正はSAP Security Noteで案内されています。
関係があるか
SAPのCRM関連コンポーネントであるS4CRM、S4CEXT、BBPCRMの対象版を、自社で運用している組織が当てはまります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| S4CRM | 204、205、206 | SAP Note 3834842で案内される修正（適用するSupport Packageなどの詳細は同Noteで確認） |
| S4CEXT | 107、108、109 | SAP Note 3834842で案内される修正（詳細は同Noteで確認） |
| BBPCRM | 713、714 | SAP Note 3834842で案内される修正（詳細は同Noteで確認） |
確かめ方
- 1SAP GUIでシステムのステータス画面を開き、コンポーネント一覧でS4CRM、S4CEXT、BBPCRMが入っているか、入っていればリリースがいくつかを確認します。
- 2SAP for MeでNote 3834842を開き、自社のリリースとSupport Packageが対象に入るか、必要な修正は何かを読みます。
- 3BASIS担当者に、SAPのメンテナンス状況（メインストリームか拡張メンテナンスか）も併せて確認してもらいます。
何が起きたか
SAPのS4CRMに、権限の低いユーザーが対象システム内で任意のコードを実行できてしまう脆弱性があります。2026年11月10日のSAPセキュリティパッチデーに合わせて公表されました。
原因は、リモートから呼び出せる機能で、必要な認可の確認が行われず、入力の検証も足りないことです。分類はCWE-94（コードインジェクション）で、CVEの説明ではSAP NetWeaverの機能として書かれています。
影響を受ける製品としては、S4CRMのほかにS4CEXTとBBPCRMが挙がっています。
攻撃の流れ
-
1
低権限で接続
対象システムに、権限の低いアカウントでネットワーク経由の接続ができる状態から始まります。
-
2
リモート機能へ入力
リモートから呼び出せる機能に、細工された入力が送られます。
-
3
チェックをすり抜け
認可の確認と入力の検証が足りず、本来は許されない処理が通ります。
-
4
コードが実行
対象システムの中で、攻撃者の望むコードが動きます。
-
5
影響が拡大
脆弱なコンポーネントの外にも影響が及ぶ可能性があります。
どう悪用されるか
ネットワーク経由で、低い権限のアカウントを持っていれば悪用できる想定です。攻撃に特別な複雑さはなく、利用者の操作も要りません。
悪用されると、対象システム内で任意のコードが実行されます。評価では、脆弱なコンポーネントの外にまで影響が広がり得るとされ、機密性・完全性・可用性のいずれにも高い影響が出ます。顧客データの漏えいや改ざん、業務の停止が想定されます。
今すぐやること
-
1
対象のコンポーネントと版を洗い出す
本番・検証を問わず、S4CRM 204〜206、S4CEXT 107〜109、BBPCRM 713・714が入ったシステムを一覧にします。
-
2
Note 3834842を確認して修正を適用する
SAP for Meで内容を読み、必要なSupport Packageや修正を確認します。検証環境で動作を見たうえで、本番へ早めに適用してください。SAPはパッチデーのNoteを優先して適用するよう案内しています。
-
3
リモート機能を使うアカウントを見直す
低権限のアカウントが悪用の入口になるため、不要なアカウントと過剰な権限がないかを棚卸しします。適用までの時間が空く場合は、特に重点的に行います。
-
4
適用前後の利用記録を確認する
身に覚えのないリモート呼び出しや、想定外の処理が残っていないかをログで調べます。
背景
S4CRM、S4CEXT、BBPCRMは、SAPのCRM関連のコンポーネントです。顧客情報や商談、サービス対応の記録が集まるため、会計や受発注など基幹システムとつながって運用されている会社も少なくありません。一つのコンポーネントで任意のコードが動くと、連携先にも影響しかねない点が、この種の製品の怖さです。
今回の公表は、SAPが毎月第2火曜に出すセキュリティパッチデーに合わせたものです。この日はほかの大手ベンダーの更新日と合わせてあり、2026年の次回は12月8日です。SAPのNetWeaverをもとにした製品の修正は、Security Noteのほかに、Support Packageでも配られます。
よくある質問
Q.古いSupport Packageや、サポートが切れそうな版にも修正は出ますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SAP NetWeaver does not perform necessary authorization checks and lacks sufficient input validation in certain remote-enabled functionality. An attacker with low privileges could send specially crafted input through a remote interface to inject and execute arbitrary code within the affected system. Successful exploitation could extend the attacker's reach beyond the vulnerable component, resulting in a high impact on confidentiality, integrity and availability.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cna@sap.com
- web cna@sap.com
- web nvd.nist.gov
- web github.com