チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「SAMLの署名って堅牢じゃなかったんでしゅか？」
「一般ユーザの権限でも管理者に化けられるって、本当でしゅか？」
チップスうちの基幹もSAPでしゅ……何を最初に確認すればいいでしゅか？
ボスふふふ、CVSS 9.9はSAP界隈でも最上位のラインだ。今回は仕組みを正しく理解しないと、緩和策を間違えるぞ。
本記事ではSAP 2026年6月パッチデーの目玉であるCVE-2026-44748の中身と、企業システム部門が直ちに取るべき対応を解説します。
読み終える頃には、SAP基盤に対する2026年6月の対応計画が組み立てられるようになります。
オススメ求人・フリーランス案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【750～1100万円】社内ITセキュリティマネージャー｜IPO準備中のイノベーションファーム
情報セキュリティ施策推進担当者【550～765万円・在宅メイン】
まずはSAPが6月パッチデーで公表した最重要案件、CVE-2026-44748の本質を整理します。
CVE-2026-44748は、SAP NetWeaver AS ABAPおよびABAP PlatformのSAML認証で使われる署名XML文書の検証ロジックに残っていた古典的な弱点を突きます。
攻撃者は一般ユーザ権限で正規にログインし、自分宛に発行された署名済みSAMLレスポンスを取得したうえで、署名ブロックを保持したままユーザ識別子などのアサーションを差し替えて再送信します。
検証側が「署名は有効」と判断しつつ実体は別人のIDを受け入れてしまうため、なりすましや権限昇格、機微データへの不正アクセスが成立します。
影響範囲はSAP_BASIS 702から919までと広く、長期運用中の基幹システムほど該当する恐れがあります。
本脆弱性の要点をまとめると以下のとおりです。
| 項目 | 内容 |
|---|---|
| 識別子 | CVE-2026-44748 |
| CVSS | 9.9（最高クラス） |
| 対象 | SAP NetWeaver AS ABAP / ABAP Platform（SAP_BASIS 702〜919） |
| 攻撃要件 | 有効なアカウントによる認証済みアクセス、低権限で可 |
| 影響 | SAML ID情報改ざんによるなりすまし、権限昇格、機微データ閲覧 |
チップスSAML自体は世界中で使われてる仕組みでしゅよね……ほかの製品も大丈夫なんでしゅか？
ボスXML Signature Wrappingは過去にも各社で何度も繰り返し見つかっている古典問題だな。SAP以外の自社製・自前SAMLサービスも同じ視点で点検する価値はある。
6月パッチデーはCVE-2026-44748だけでなく、複数の重大脆弱性が同時に修正されました。
恒久対策はSAPが提供する6月パッチデーのSecurity Noteを適用することで、ABAPとJava両方の基盤を漏れなく対象に含める必要があります。
あわせて公表されたCVE-2026-27671（RFC検証のメモリ破損、認証不要・CVSS 9.8）、CVE-2026-40128（Javaコンテナのディレクトリトラバーサル）、CVE-2026-22732（SAP Commerce Cloud/Data HubのSpring Security）も致命度が高く、後回しにできません。
パッチ検証に時間が必要な場合は、SAMLログイン経路へのアクセス元IPを業務範囲に絞り、不要なテナントは一時的にSAML無効化やID連携停止で攻撃面を狭めるのが現実的です。
同時に、SAP監査ログでSAML関連のエラーやアサーション再送の急増を検知できる体制を整えておきましょう。
本パッチサイクルで押さえたい対応は以下のとおりです。
チップスSAPは止めにくいシステムでしゅ……パッチ前にできる暫定策が用意できるのは助かるでしゅ。
ボスそうだな。検証期間中に侵入されないよう「経路を狭める」「監視を上げる」の2点を必ず併走させること。これがSAP運用の鉄則だ。
CVE-2026-44748は、認証済み一般ユーザがSAMLの仕組みを悪用して権限を奪える、SAP基盤として極めて深刻な脆弱性です。
パッチ未適用のままでは、業務システムへの広範な不正アクセスと内部からのデータ持ち出しを許す可能性があり、影響範囲が広いSAP_BASIS構成では迅速な対応が欠かせません。
パッチ適用と並行してSAML経路の暫定保護・監視強化を実施し、CVE-2026-27671などの併走脆弱性も漏れなく潰す姿勢が問われます。
SAP基盤のセキュリティ強化に踏み込みたい方は、ぜひセキュリティフリーランス案件で実環境の改善に挑んでみてください。
参考: Cyber Security News「SAP Security Patch Day June – Critical Vulnerabilities in SAP NetWeaver Patched」 / SecurityOnline「SAP Security Patch Day: Critical Security Vulnerabilities Remediated」
オススメ求人・フリーランス案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【野村不動産グループ】情報セキュリティ担当課長候補・年収808〜844万円・週3日リモート
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
【750～1100万円】社内ITセキュリティマネージャー｜IPO準備中のイノベーションファーム
情報セキュリティ施策推進担当者【550～765万円・在宅メイン】
