チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「SAPを使っている会社、うちも多いんですが……この脆弱性って本当にやばいんでしゅか？」
「パッチが来てるらしいけど、どこから対応すればいいのか分からないでしゅ」
チップスSAPって大企業がよく使うシステムでしゅよね。脆弱性が出たってニュースで見たんでしゅけど……本当に危ないんでしゅか？
ボスヤバいどころじゃないな。CVSS 10.0、これは最高スコアだ。しかも認証なしでリモートから攻撃できる。SAPを使っている組織は今すぐ動かないといけない。
2026年9月8日、SAPは月例のセキュリティパッチデーで19件の脆弱性を修正しました。
そのなかで最も深刻なのが、SAP KernelのExtended Passport（EPP）処理に存在するメモリ破損脆弱性「OVERPASS」（CVE-2026-44756、CVSS 10.0）です。
未認証の攻撃者がリモートから任意コマンドを実行し、システムを完全制御できるこの脆弱性は、日本企業で広く導入されているSAPシステム全体に影響します。
パッチ適用の優先度と具体的な確認方法を理解して、迷わずアクションに移せるようになります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
SAPは2026年9月8日のパッチデーで、CVSSスコア10.0の「OVERPASS」（CVE-2026-44756）を修正しました。
これはSAP Kernelの拡張パスポートプロトコル（EPP）処理ライブラリに存在するメモリ破損脆弱性で、EPPデータのデシリアライズ時に境界値チェックが欠落していることが原因です。
CVSS 10.0という最高スコアは、機密性・完全性・可用性のすべてへの影響が最大と評価されていることを意味します。
現時点では野外での悪用は確認されていませんが、脆弱性の詳細が公開された以上、攻撃コードが出回るまでの時間は限られています。
影響を受ける製品と対策を確認しておきましょう。
上記のいずれかを運用している組織は、パッチ適用を最優先タスクとして扱う必要があります。
チップスでも、攻撃者はどうやって侵入するんでしゅか？ログインできなくても危ないんでしゅか？
ボス認証は要らないんだ。Web経由・SAP GUIのプロトコル・RFCの3つから侵入できる。しかもユーザーロックも権限オブジェクトもすり抜けるから、普通の防御が通用しない。
攻撃の核心は「EPPデータをデシリアライズする際の境界値チェック欠如」にあります。
新しいユーザーセッションが開始されるタイミングで脆弱なコードパスが走るため、ユーザーロックや認証制御を迂回して攻撃が成立します。
攻撃に成功した場合、攻撃者はSAPシステムのOSアカウントと同等の権限を手に入れます。
具体的にできることをまとめると、以下のとおりです。
SAP経由でデータベース認証情報が漏れると、ERP全体のデータに不正アクセスできてしまいます。
財務データ・人事情報・サプライチェーン情報を扱うSAPでこれが起きた場合のビジネス影響は計り知れません。
チップスパッチは来てるんでしゅよね。とにかく今日中に適用するでしゅ！
ボスその判断は正しい。ただしパッチ適用前にバックアップと変更管理の確認も忘れずに。緊急でも手順は踏むこと、それが本物のセキュリティだ。
SAP OVERPASS脆弱性（CVE-2026-44756）はCVSS 10.0の最高深刻度で、S/4HANA・NetWeaver・ECC・Web Dispatcher等、SAPシステムの中核製品すべてに影響します。
未認証・リモートから3経路で攻撃が可能で、成功すればシステム完全制御が成立します。
現時点で野外悪用は未確認ですが、パッチが公開された今、攻撃者がコードを開発する時間的余裕は非常に短いです。
セキュリティキャリアを目指す方にとって、CVSSスコアの読み方・パッチ優先度の判断・変更管理との兼ね合いは、実務で繰り返し問われるスキルです。
この事例を通じて「CVSS 10.0が来たときに自分はどう動くか」のシナリオを今のうちに整理しておきましょう。
出典: SAP Patches Critical Extended Passport Processing Vulnerability – SecurityWeek
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
