対象：SAPのERP・業務システム（NetWeaver AS ABAP、S/4HANA、Web Dispatcherなど）を自社で運用している人と、情報システム部門・セキュリティ担当、運用を委託先に任せている人。本記事はSAPの公開のセキュリティパッチデー一覧、CVEの記録、米CISAのKEVにもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
SAPのERP・業務システム（NetWeaver AS ABAP、S/4HANA、Web Dispatcherなど）を自社で運用している人と、情報システム部門・セキュリティ担当、運用を委託先に任せている人。
- 影響が確認された範囲表で見る ↓
- パッチデーの件数
- CVSS 10.0の4件
- CVSS 9.9の3件
- 未確認事項
- SAP Noteの本文（修正版・パッチレベル・回避策。ログインが要り、当サイトは読んでいない）
- 悪用の有無（SAPの一覧とKEVに記載はない。CISAの評価が付いたのは7件のうち4件）
- CISAのKEVへの追加（11月10日19時UTC版では未掲載）
- 今やること手順を見る ↓
- 外から届くSAPの入口を洗い出す
- 版を確かめる
- SAP Noteを開いて、修正版を確かめる
さらに3件
- System Recommendationsで抜けを探す
- 再起動を含む適用を計画する
- 適用までの間、届く範囲を狭める
- 最終確認日時
- 2026年11月11日（日本時間）時点
発表の続報予定と確認の記録
SAPの公開ページは、2026年11月10日のパッチデーに、新規のセキュリティノート35件とGitHubのセキュリティアドバイザリ4件を公開し、既存ノート3件を更新したと書いています。SAPは、サポートポータルでパッチを優先して適用するよう強く勧めています。
今日やること
外から届くSAPの入口を洗い出す
Web Dispatcher（SAPの前段でHTTPの要求を振り分ける部品）、ICM（AS ABAPの中でHTTP・HTTPSを受ける部品）、SAP Gatewayが、インターネットや取引先のネットワークから届く状態かを、ファイアウォールの設定と、実際の接続元の範囲で確かめます。届くものがあれば、それが最優先です。社内だけで使うシステムも対象ですが、順番は後になります。
版を確かめる
一般に、SAPカーネルの版は、SAP GUIの「システム」→「ステータス」や、トランザクションSM51、サーバー上の disp+work -version で見られます。SAP_BASISの版は、「ステータス」の画面のコンポーネント一覧にあります。Web Dispatcherは、一般に別のプロセスなので、独立した版です（以上は SAP の原文にない、当サイトの補足）。SAPの一覧の「Version(s)」の列と突き合わせてください。HANAの組み込み版（一覧の「HDB 2.00」を当サイトはこう解釈）や、XS Advancedのランタイムに入っているWeb Dispatcherも、一覧の対象に挙がっています（当サイトの解釈）。
SAP Noteを開いて、修正版を確かめる
下の表のノート番号を、SAPのサポートポータルで開きます。修正版、必要なパッチレベル、回避策の有無は、ノート本文にあります。同じカーネルの版が、複数の行に並んでいます。カーネルの更新を、複数のノートの分とまとめて計画できるかを、本文で確かめてください。
System Recommendationsで抜けを探す
SAP Solution Managerを使っているなら、System Recommendationsで、システムごとに該当するセキュリティノートを一覧できます。一般に、システムの構成情報が古いと、候補が出ないことがあります。表に載せた番号が、候補に出てくるかを確かめ、出ないときは、構成情報の更新をかけて、再度確かめてください（当サイトの補足）。Solution Managerを使っていないときは、ノート番号を1つずつ、手で確かめます。
再起動を含む適用を計画する
カーネルの更新は、一般に、インスタンスの停止と起動を伴います。テスト環境で動作を確かめ、本番は、停止の時間帯を事前に押さえてください。一般に、冗長構成の前段は、1台ずつ順に更新できます。適用したら、再起動後に、実際に動いているカーネルの版が新しくなっていることを確かめます（以上は SAP の原文にない、当サイトの補足）。
適用までの間、届く範囲を狭める
外から届く必要のない入口は、ファイアウォールで閉じます。SAP Gatewayのような内部向けの口は、インターネットに出さず、接続元のサーバーに絞ります。SAML 2.0による認証を設定している場合は、CVE-2026-120017の対象になりうるので、その設定の有無を最初に確かめます（CVE記録は、特定の構成が前提と書いています）。
Web Dispatcher・ICMが外に出ている
最優先。認証なしで届く。適用の時間帯を今日押さえる
Gateway、SAML 2.0による認証
次に急ぐ。届く範囲を絞り、使っているかを確かめる
ログイン後に悪用されうる9.9の3件
ログインできる人が多い環境ほど急ぐ。通常の計画で適用
優先順位の表（CVSS 10.0と9.9）
CVSSの値は、SAPの一覧とCVE記録（SAPが登録）で同じです。「前提」はCVE記録の説明にもとづきます。
| CVE | 製品 | CVSS | SAP Note | 前提（CVE記録） |
|---|---|---|---|---|
| CVE-2026-89126 | SAP Web Dispatcher（メモリ破壊） | 10.0 | 3778556 | 認証なし。ネットワーク経由 |
| CVE-2026-76964 | NetWeaver AS ABAP のICM（メモリ破壊） | 10.0 | 3778530 | 認証なし。ネットワーク経由 |
| CVE-2026-89103 | SAP Gateway（アクセス制御） | 10.0 | 3798345 | 認証なし。Gatewayへのネットワークの接続が要る |
| CVE-2026-120017 | AS ABAP・ABAP PlatformのSAML2サービスプロバイダ（認証の欠如） | 10.0 | 3849308 | 認証なし。特定の構成で |
| CVE-2026-76965 | AS ABAP・ABAP Platform（OSコマンドの実行） | 9.9 | 3792735 | 低い権限のログイン |
| CVE-2026-109795 | S4CRM（認可の欠如） | 9.9 | 3834842 | 低い権限のログイン |
| CVE-2026-109803 | NetWeaverのナレッジ管理（XML Forms、コードの注入） | 9.9 | 3809153 | ログインした利用者 |
SAPの一覧でCriticalとされる残りの2行は、次のとおりです。
| CVE | 製品 | CVSS | SAP Note |
|---|---|---|---|
| CVE-2026-89119（追加CVE: CVE-2026-120014） | Web DispatcherとICM（CSRF） | 9.6 | 3804858 |
| CVE-2026-109798 | SAP BusinessObjects BI（Web Intelligence、XXE） | 9.1 | 3799117 |
当サイトの見方：上の4件のCVSS 10.0は、前段（Web Dispatcher、ICM）、中継（Gateway）、認証（SAML2）に分かれます。SAPのシステムは、ひとつの攻撃面だけを守っても足りません。Web DispatcherとICMには、CVSS 7.5〜7.7のメモリ破壊やサービス拒否の別ノートも並んでいる（CVE-2026-109800、109793、109794）ので、前段とカーネルの更新を、ひとまとめの作業として計画する価値があります。どのパッチレベルで何が直るかは、ノート本文で確かめてください。
公式発表の内容
- 件数
- 新規のセキュリティノート35件、GitHubのセキュリティアドバイザリ4件、既存ノートの更新3件（SAPの説明）
- 優先度の内訳
- SAPの一覧は42行。Criticalが9行、Highが17行、Mediumが15行、Lowが1行（当サイトが一覧の行を数えた）。GitHubの4件と更新の3件を含む
- Critical（9行）
- CVSS 10.0が4行、9.9が3行、9.6が1行、9.1が1行
- 既存ノートの更新
- 2026年10月分（XSS、ノート3671819）、7月分（WebClient UI、ノート3155685）、2022年4月分（WebClient UI、ノート3101986）。以前に適用した人も、更新後の内容を確かめる
- 開発者向けライブラリ
- GitHubのアドバイザリ4件は、SAP Cloud SDK for Python（0.63.1未満、0.50.0未満）、SAP Cloud SDK for AI（JavaScript、2.17.0以下）、SAP/astonish（3.6.0未満）が対象。ERP本体とは別に、使っているパッケージの版を確かめる
- SAPの勧告
- サポートポータルで、パッチを優先して適用するよう強く勧めている
- CVE-2026-89126・76964
- メモリ破壊。認証のない攻撃者が、細工したネットワーク通信で、任意のコードの実行とシステム全体の侵害に至りうる。CVSS 3.1は10.0（ネットワーク、低い複雑さ、権限不要、操作不要、範囲の変更あり）
- CVE-2026-89103
- SAP Gatewayが、既定のアクセス制御リストを高い権限で有効にし、外部の攻撃者を内部のアプリケーションサーバーとして扱ってしまう。認証のない攻撃者が、不正な操作をしうる。CVSS 3.1は10.0
- CVE-2026-120017
- 特定の構成で、受け取った認証の主張（アサーション）の検証が不十分。認証のない攻撃者が、認証を迂回して、管理者を含む任意の利用者になりすませる。CVSS 3.1は10.0
- CVE-2026-76965・109795・109803
- 低い権限のログインを前提に、OSコマンドの実行（76965）、コードの注入（109795）、不正なXSLT変換による任意コードの実行（109803）に至りうる。CVSS 3.1は9.9
- 修正版・回避策
- CVE記録には載っていない。SAP Noteの本文を参照
悪用の状況
2026年11月11日時点で、確認できた範囲は次のとおりです。
- SAPの一覧
- 悪用の記載なし
- KEV
- 米CISAのKEV（悪用が確認された脆弱性の一覧、2026年11月10日19時UTC版）に、SAPの一覧に出てくるCVE 45件は1件も載っていない
- CISAの評価（SSVC）
- CVE記録に付いたのは、CVE-2026-89126、120017、109803、109795の4件。いずれも悪用は「なし」。89126と120017は自動化は「可」、109803と109795は「不可」。技術的影響は4件とも全面。76964、89103、76965は、確認時点で評価なし
当サイトの見方：「悪用なし」は、公開から1日以内の評価です。CISAの評価は、これから付く件も、変わる件もありえます。評価が変わる前に、外に出ている入口から手を付けてください。
分かっていること・分かっていないこと
| 項目 | 公表の内容 | 状態 |
|---|---|---|
| パッチデーの件数 | 新規ノート35件、GitHubアドバイザリ4件、更新3件（SAP） | 確定（SAP） |
| CVSS 10.0の4件 | Web Dispatcher、ICM、Gateway、SAML2。製品と版の範囲（SAPの一覧、CVE記録） | 確定（SAP） |
| CVSS 9.9の3件 | ABAP、S4CRM、ナレッジ管理。低い権限のログインが前提（CVE記録） | 確定（SAP） |
| 修正版・パッチレベル | SAP Noteの本文（ログインが要る） | 未確認 |
| 回避策 | 一覧とCVE記録には載っていない | 記載なし |
| 悪用 | SAPの一覧とKEVに記載なし。CISAの評価が付いた4件は「なし」 | 記載なし |
| KEVへの追加 | 11月10日19時UTC版では未掲載 | 記載なし |
運用を任せている場合
委託先やSAPの保守窓口に、次の3点を聞くと話が早く進みます。
- 自社のSAPカーネルとSAP_BASISの版、Web DispatcherとICMの版は何か
- 上の表のSAP Noteの、適用の予定日と、再起動を伴う停止の時間帯はいつか
- Web DispatcherやGatewayは、インターネットや取引先から届く状態か。SAML 2.0による認証を使っているか
当サイトの視点：版の棚卸しが、毎月の適用を速くする
SAPのパッチデーは毎月あり、適用が遅れる理由は、脆弱性そのものより、停止の時間帯の調整とテストの手間であることが多いはずです。どのシステムが外から見え、どのカーネルの版で動いているかを、一覧にしておけば、パッチデーのたびに、洗い出しからやり直さなくて済みます。優先順位の付け方は 脆弱性の優先順位の付け方（CVSS・EPSS・KEV） で解説しています。
これまでの経緯
2026年11月10日
SAPがセキュリティパッチデーを実施し、ノート35件、GitHubアドバイザリ4件、更新3件を公開。CVE記録7件が同日（UTC）に公開される。11月10日（UTC夜）
米CISAが、CVE記録のうち4件に、悪用「なし」の評価を付ける。KEVのJSONは19時UTC版で、SAPの一覧のCVEを含まない。11月11日
当サイトがSAPの一覧、CVE記録、KEVを確認して、記事を公開。
出典（公開記録）
2026年11月11日に確認しました。SAPの発表を先に並べています。SAP Noteの本文はログインが要り、確認していません。
- SAP「Security Patch Day - November 2026」（2026年11月10日） — support.sap.com
- CVE記録（2026年11月10日公開。登録はSAP）：CVE-2026-89126 ／ CVE-2026-76964 ／ CVE-2026-89103 ／ CVE-2026-120017 ／ CVE-2026-76965 ／ CVE-2026-109795 ／ CVE-2026-109803
- 米CISA 悪用が確認された脆弱性の一覧（KEV。2026年11月10日19時UTC版で確認） — cisa.gov ／ JSON
更新履歴
2026-11-11：初版。SAPの一覧、CVE記録7件、KEV（11月10日19時UTC版）にもとづく。悪用の記載はない。SAP Noteの本文は未確認。
次に読む
- 公表後の進め方：脆弱性が公表されたときの対応手順 ／ 脆弱性の優先順位の付け方（CVSS・EPSS・KEV）
- 同じ形の月例の更新：Jenkinsのセキュリティ勧告（2026年10月28日、15件）
- 備え：セキュリティの棚卸しチェックリスト
- 用語：CVEとは ／ CVSSとは