2026-11-11
SAPセキュリティパッチデー（2026年11月）：CVSS 10.0が4件。Web DispatcherとICMを最優先に、対象の確かめ方と今日やること
SAPは2026年11月10日のセキュリティパッチデーで、新規のセキュリティノート35件とGitHubのセキュリティアドバイザリ4件、既存ノートの更新3件を公開した。SAPの一覧でCriticalとされるのは9行。うちCVSS 10.0が4件で、NetWeaver AS ABAPのICM（CVE-2026-76964）とWeb Dispatcher（CVE-2026-89126）のメモリ破壊、SAP Gatewayのアクセス制御（CVE-2026-89103）、ABAPのSAML2サービスプロバイダの認証欠如（CVE-2026-120017）。CVE記録は4件とも、認証なし・ネットワーク経由・利用者の操作なしと記す（CVE-2026-120017 は特定の構成で）。CVSS 9.9は3件（CVE-2026-109803・CVE-2026-76965・CVE-2026-109795）で、低い権限のログインが前提。SAPの一覧と、米CISAのKEV（悪用が確認された脆弱性の一覧、11月10日19時UTC版）に、悪用の記載はない。CVE記録に付くCISAの評価も、確認できた4件は悪用「なし」。SAP Noteの本文はログインが要り、当サイトは読んでいない。当サイトの結論：インターネットに出ているWeb DispatcherとICMを最優先にし、SAP Noteで修正版を確かめて、再起動を含む適用を計画する。