Angreifer haben begonnen, eine kritische Sicherheitslücke in der Plattform SAP Commerce Cloud auszunutzen – nur drei Tage nachdem der entsprechende Patch veröffentlicht wurde. Das berichten Forscher des Threat-Intelligence-Unternehmens Defused. Die Schwachstelle trägt die Kennung CVE-2026-58231 und weist einen CVSS-Schweregrad von 10,0 auf, womit sie zu den gefährlichsten Schwachstellen gehört.
Commerce Cloud, früher als SAP Hybris bekannt, wird als Cloud-E-Commerce-Plattform von Online-Shops namhafter globaler Marken und großen Einzelhändlern eingesetzt. Die Ausnutzung der Schwachstelle kann es einem Angreifer ermöglichen, aus der Ferne beliebigen Code auszuführen und dadurch interne Komponenten der Plattform zu beeinflussen.
Codeausführung ohne Berechtigungen
Das Problem entsteht durch eine Schwäche bei der Autorisierung im zentralen Data Hub Adapter-Add-on von Commerce Cloud. Ein nicht authentifizierter Angreifer kann die Schwachstelle ohne Berechtigungen in einem Angriff mit geringer Komplexität ausnutzen, um beliebigen Code auszuführen.
SAP erklärte, dass ein nicht authentifizierter Angreifer einen standardmäßigen Authentifizierungsclient missbrauchen und speziell gestaltete Eingaben an bestimmte Funktionen senden kann, die keine ausreichende Validierung durchführen. Eine erfolgreiche Ausnutzung kann die Ausführung beliebigen Codes und die Kompromittierung interner Komponenten ermöglichen und sich stark auf die Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung auswirken.
Honeypots registrieren Ausnutzungsversuche
Die Forscher von Defused erklärten, dass die ersten Ausnutzungsversuche drei Tage nach der Veröffentlichung des Patches ihre Honeypot-Systeme erreichten. Sie bestätigten, dass für die Schwachstelle kein öffentlich verfügbarer Proof of Concept existiert und dass sie zuvor nicht als aktiv ausgenutzt bekannt war.
Im Gegensatz dazu stufte SAP die Schwachstelle in seinem am Dienstag veröffentlichten Sicherheitsbulletin nicht als aktiv ausgenutzt ein. Ein Unternehmenssprecher erklärte gegenüber BleepingComputer, SAP sei sich der Angelegenheit bewusst und untersuche sie. Er wies darauf hin, dass das Sicherheitsbulletin 3771065 den Kunden und Partnern im Rahmen des SAP Security Patch Day im August zur Verfügung gestellt wurde. Das Unternehmen empfahl Kunden und Partnern, die Updates umgehend zu installieren.
Mehr als 4.200 der Plattform zugeordnete Adressen
Die Internet-Sicherheitsüberwachungsgruppe Shadowserver beobachtet mehr als 4.200 IP-Adressen mit einem Fingerabdruck von SAP Commerce Cloud. Die meisten davon befinden sich in Europa und Nordamerika. Es liegen keine Informationen darüber vor, wie viele dieser Systeme Honeypots darstellen oder wie viele Systeme bereits gegen die Ausnutzung von CVE-2026-58231 abgesichert wurden.
Der Vorfall reiht sich in eine Serie von Sicherheitsupdates für Commerce Cloud ein. SAP behob im Sicherheits-Patch-Bundle für Juli 2026 16 Schwachstellen sowie weitere 30 Schwachstellen in den Monaten Juni und Mai. Darunter befanden sich drei kritische Schwachstellen: CVE-2026-44761, CVE-2026-22732 und CVE-2026-34263.
Seit November 2021 hat die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) 14 Schwachstellen in SAP-Produkten in ihren Katalog bekannter, ausgenutzter Schwachstellen aufgenommen, darunter drei Schwachstellen, die bei Ransomware-Angriffen eingesetzt wurden. Außerdem berichteten Aikido und Socket im April, dass Angreifer versucht hatten, Zugangsdaten von Entwicklersystemen zu stehlen, nachdem sie mehrere offizielle npm-Pakete von SAP bei einem Angriff auf die Lieferkette kompromittiert hatten.