脅威インテリジェンス企業Defusedの研究者によると、攻撃者はパッチがリリースされてからわずか3日後に、SAP Commerce Cloudプラットフォームの重大なセキュリティ脆弱性を標的にし始めた。この脆弱性にはCVE-2026-58231という識別子が割り当てられており、CVSS深刻度評価は10.0で、最も危険度の高い脆弱性の一つとなっている。
かつてSAP Hybrisとして知られていたCommerce Cloudは、著名なグローバルブランドや大手小売業者が運営するオンラインストアで、クラウド型の電子商取引プラットフォームとして利用されている。この脆弱性を悪用すると、攻撃者が選択したコードをリモートから実行し、プラットフォーム内部のコンポーネントに影響を及ぼす可能性がある。
権限不要のコード実行脆弱性
この問題は、Commerce Cloudの中核アドオンであるData Hub Adapterの認可の弱点に起因する。認証されていない攻撃者は、権限を必要とせず、低い複雑度の攻撃によって任意のコードを実行できる。
SAPは、認証されていない攻撃者がデフォルトの認証クライアントを悪用し、十分な検証レベルを実施していない特定の機能に、細工した入力を送信できると説明した。悪用に成功すると、任意のコードの実行や内部コンポーネントの侵害が可能になり、アプリケーションの機密性、完全性、可用性に大きな影響を及ぼす可能性がある。
ハニーポットが検知した悪用の試み
Defusedの研究者は、パッチのリリース日から3日後、脆弱性を悪用する最初の試みが同社のハニーポットシステムに到達し始めたと述べた。さらに、この脆弱性には一般公開された概念実証コードがなく、以前から悪用されていることも知られていなかったと確認した。
一方、SAPは火曜日に発行したセキュリティ速報で、この脆弱性を積極的に悪用されているものとして分類しなかった。同社の広報担当者はBleepingComputerに対し、SAPはこの問題を把握して調査中であると述べ、セキュリティノート3771065が8月のパッチデーに顧客とパートナー向けに公開されたと説明した。同社は顧客とパートナーに対し、直ちに更新をインストールするよう推奨した。
プラットフォームに関連する4,200超のアドレス
インターネットセキュリティ監視グループのShadowserverは、SAP Commerce Cloudのフィンガープリントを持つ4,200超のIPアドレスを監視しており、その大半は欧州と北米に集中している。これらのシステムのうち、どれだけがハニーポットなのか、またCVE-2026-58231の悪用に対してすでに保護されているシステムがどれだけあるのかを特定する情報は得られていない。
今回のインシデントは、Commerce Cloudに影響を及ぼした一連のセキュリティ更新の一環として発生した。SAPは2026年7月のセキュリティパッチパッケージで16件の脆弱性を修正し、6月と5月にもさらに30件の脆弱性を修正した。その中には、CVE-2026-44761、CVE-2026-22732、CVE-2026-34263という3件の重大な脆弱性が含まれている。
2021年11月以降、米国サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は、SAP製品の14件の脆弱性を既知の悪用脆弱性カタログに追加しており、そのうち3件はランサムウェア攻撃で利用された。また、AikidoとSocketは4月、SAPが公式に提供する複数のnpmパッケージがサプライチェーン攻撃で侵害された後、攻撃者が開発者システムから認証情報を盗もうとしたと報告した。