ソフトウェア開発基盤「SAP NetWeaver / SharePoint」の未修復脆弱性攻撃
確認時の注意：事例の報道内容や影響範囲は更新される可能性があります。公開時点の一次情報、公式発表、脆弱性情報を確認し、環境の所有者の承認とバックアップを準備してから対策を適用してください。
【背景と概要】
基幹業務システム（ERP）である「SAP NetWeaver」や、ドキュメント共有基盤である「Microsoft SharePoint」など、世界中の多くの大企業や政府機関で利用されている主要ミドルウェア・Webアプリケーションの脆弱性を突いた攻撃が横行しています。
セキュリティベンダーやメーカー側から修正パッチが公開されているにもかかわらず、システムの停止や影響調査を懸念してパッチ適用（Patch Management）が遅れている企業の隙を突き、攻撃者が未修復の脆弱性（Nデイ脆弱性）を自動ツールでスキャンして一斉侵入する手口が目立っています。
【未修復脆弱性を狙う「Nデイ攻撃」の加速化】
攻撃者は、脆弱性が公開されてから攻撃コード（エクスプロイト）を作成して適用するまでの時間を極限まで短縮しています。
- パッチ解析による「1-Day / N-Day エクスプロイト」の即時作成
メーカーがセキュリティパッチを公開すると、攻撃者はそのパッチ（修正前後のコード差分）をリバースエンジニアリングして解析し、「どこにどのような脆弱性があったのか」を特定して攻撃プログラムをわずか数日〜数時間で作成します。
- インターネット全体の全自動脆弱性スキャン
作成した攻撃プログラムを自動化ボット（ShodanやCensysなどの検索エンジンデータも併用）に読み込ませ、インターネット上に露出しているSAPやSharePointのサーバーを無差別に走査します。
- リモートコード実行（RCE）によるシステム全体の強奪
パッチが適用されていない無防備なサーバーを発見すると、リモートから任意のコードを実行（RCE: Remote Code Execution）させ、Webシェル（Webshell）と呼ばれるバックドアを配置して内部ネットワークへの侵入を完了させます。
【パッチ適用が遅れる企業側の構造的課題】
「パッチを当てれば安全になる」と分かっていても、基幹システム（SAP等）やファイルサーバー（SharePoint等）は「停止すると業務全体が止まる」「パッチ適用により自社開発したアドオンプログラムが正常動作しなくなる恐れがある」という理由から、検証期間を含めてパッチ適用に数ヶ月かかる企業が多いのが現状です。
【パッチ遅延リスクを補完する「バーチャルパッチ」と脆弱性管理】
パッチ適用までの「タイムラグ（Window of Exposure）」を埋める多層防御が必要です。
- WAF / IPSによる「バーチャルパッチ（仮想パッチ）」の即時適用
本番サーバーへの直接的なパッチ適用が難しい場合、前段に配置したWAF（Web Application Firewall）やIPS（侵入防止システム）に該当脆弱性を遮断するルール（バーチャルパッチ）を即座に適用し、攻撃トラフィックを水際でブロックします。
- EPSS（悪用予測スコア）やCISA KEVに基づく「パッチ適用の優先順位付け」
すべての脆弱性を均等に対応するのではなく、実際に攻撃で悪用が確認された脆弱性（CISA KEVリスト等）や、悪用確率（EPSS）が高い脆弱性を最優先で即日〜数日以内にパッチ適用するアプローチへ移行します。
- 内部ネットワークからの「横移動（ラテラルムーブメント）」の遮断
仮にSharePointやSAPのWebサーバーが突破されたとしても、データベースサーバーや社内LANへの不要な通信をネットワークセグメンテーション（ZTNA/マイクロセグメンテーション）で遮断し、被害をWebサーバー単体に封じ込めます。