ドイツの業務ソフト大手SAPは、自社の開発キット「SAP Cloud SDK for Python」に最悪級の深刻度とされる脆弱性があると警告しました。認証情報が外部に流出する恐れがあり、クラウド基盤「SAP BTP」上でAIアプリなどを開発する企業に影響が及ぶ可能性があります。
「サーバー側リクエスト偽造」の欠陥
今回見つかったのはCVE-2026-89111と呼ばれる脆弱性で、OAuth2という認証の仕組みにおける「サーバー側リクエスト偽造（SSRF）」に分類されます。SSRFとは、攻撃者がサーバーをだまして意図しない通信先へアクセスさせる手口です。この欠陥は深刻度が最大級と評価されており、企業システムの入り口を揺るがしかねません。
認証情報を盗み取る仕組み
問題となるのは、複数の顧客が共用する「マルチテナント型」のアプリです。攻撃者が「tenant_subdomain（テナントのサブドメイン）」という項目を細工すると、本来のSAPサーバーではなく攻撃者が用意したサーバーへ認証リクエストを誘導できてしまいます。その結果、アプリの認証情報が盗み取られる恐れがあります。遠隔から、特別な権限がなくても悪用できる点が危険視されています。
対策と現状
この脆弱性はSAPが10月に公開した月例のセキュリティ更新に含まれており、修正プログラムの適用が推奨されます。現時点で実際に悪用された事例は報告されていません。すぐに更新できない場合の暫定対策として、登録済みの正規のテナントサブドメインを一覧（許可リスト）で照合し、不正な値を事前にはじく方法が示されています。
日本への影響
SAPの業務ソフトは、製造業を中心に日本の大企業でも広く導入されており、基幹業務システムの中核を担っています。今回の脆弱性はAIアプリ開発向けの比較的新しい開発キットに関わるものですが、SAP BTP上で独自アプリを構築している日本企業にとっては見過ごせない問題です。認証情報が流出すれば、取引先や顧客のデータへ不正にアクセスされる二次被害につながりかねません。システム担当者は、自社が該当する開発キットを利用しているかを早急に確認し、修正プログラムの適用や許可リストによる暫定対策を講じることが求められます。近年はソフトの部品や開発基盤の弱点を突く「サプライチェーン型」の攻撃が増えており、自社だけでなく委託先を含めた点検が欠かせません。被害が出てからでは遅く、日ごろの備えが企業の信用を守ります。
まとめ：便利な開発基盤ほど、その土台の安全確認が重要です。更新の手間を惜しまないことが、最大の防御策になります。
