SAP 2026 年 11 月の Patch Day：CVSS 10.0 が 4 件、ICM・Web Dispatcher・Gateway・SAML2 SP を先に
新規ノート 35 件（Critical 9 件）。CVSS 10.0 の 4 件はいずれもインターネット側に出やすいコンポーネントなので、外部公開している SAP から優先して当てる。
優先度の高いもの
| CVSS | CVE | コンポーネント | 内容 |
|---|---|---|---|
| 10.0 | CVE-2026-76964 | NetWeaver AS ABAP の ICM | メモリ破損 |
| 10.0 | CVE-2026-89126 | SAP Web Dispatcher | メモリ破損 |
| 10.0 | CVE-2026-89103 | SAP Gateway | アクセス制御の不備 |
| 10.0 | CVE-2026-120017 | NetWeaver AS ABAP / ABAP Platform の SAML2 Service Provider | 認証の欠如 |
| 9.9 | CVE-2026-109803 | NetWeaver Knowledge Management の XML Forms | コードインジェクション |
| 9.9 | CVE-2026-76965 | ABAP Application Server | OS コマンドインジェクション |
| 9.9 | CVE-2026-109795 | S4CRM | 認可チェック欠如 |
| 9.6 | CVE-2026-89119（＋CVE-2026-120014） | Web Dispatcher / ICM | CSRF |
| 9.1 | CVE-2026-109798 | BusinessObjects BI Platform の Web Intelligence | XXE |
進め方
- Web Dispatcher・ICM をインターネットや取引先ネットワークに出している構成を先に洗い出し、ICM／Web Dispatcher のカーネル更新を最優先にする。
- SAML2 SSO を使っているシステムは CVE-2026-120017 のノートを確認する。
- SAP Gateway は
reginfo/secinfoの ACL も合わせて見直す（アクセス制御系の不備のため）。 - GitHub のセキュリティアドバイザリ 4 件（SAP の OSS／SDK 系）も、自社コードで使っていないか確認する。
注意
- 3 の ACL 見直しは一般的な補足。個別の回避策は各ノートで確認する。