위협 인텔리전스 기업 Defused의 연구원들에 따르면, 공격자들이 SAP Commerce Cloud 플랫폼의 치명적인 보안 취약점을 패치가 발표된 지 불과 3일 만에 표적으로 삼기 시작했습니다. 이 취약점은 CVE-2026-58231 식별자를 부여받았으며 CVSS 심각도 점수는 10.0으로, 가장 위험한 취약점 중 하나입니다.
이전에 SAP Hybris로 알려졌던 Commerce Cloud는 주요 글로벌 브랜드와 대형 소매업체의 온라인 상점에서 클라우드 전자상거래 플랫폼으로 사용됩니다. 이 취약점을 악용하면 공격자가 원격에서 선택한 코드를 실행할 수 있으며, 그 결과 플랫폼 내부 구성 요소에 영향을 미칠 수 있습니다.
권한 없이 코드를 실행할 수 있는 취약점
이 문제는 Commerce Cloud의 기본 Data Hub Adapter 애드온에 존재하는 권한 부여 취약점에서 비롯됩니다. 인증되지 않은 공격자는 권한 없이도 낮은 복잡도의 공격을 통해 이를 악용하여 임의의 코드를 실행할 수 있습니다.
SAP는 인증되지 않은 공격자가 기본 인증 클라이언트를 악용하고 충분한 검증 수준을 적용하지 않는 특정 기능에 특수하게 제작된 입력값을 보낼 수 있다고 설명했습니다. 악용에 성공하면 임의의 코드 실행과 내부 구성 요소 침해가 가능하며, 애플리케이션의 기밀성·무결성·가용성에 큰 영향을 미칠 수 있습니다.
허니팟에서 관측된 악용 시도
Defused 연구원들은 패치가 발표된 날로부터 3일 후 첫 번째 취약점 악용 시도가 자사의 허니팟 시스템에 도달하기 시작했다고 밝혔습니다. 또한 이 취약점에는 공개적으로 이용 가능한 개념 증명 코드가 없으며, 이전에는 악용되고 있는 것으로 알려지지 않았다고 확인했습니다.
반면 SAP는 화요일에 발표한 보안 공지에서 이 취약점을 적극적으로 악용되고 있는 취약점으로 분류하지 않았습니다. SAP 대변인은 BleepingComputer에 회사가 이 문제를 인지하고 조사 중이라고 밝혔으며, 보안 공지 3771065가 8월 보안 패치 데이에 고객과 파트너를 대상으로 게시되었다고 설명했습니다. 회사는 고객과 파트너에게 업데이트를 즉시 설치할 것을 권고했습니다.
플랫폼과 관련된 4,200개 이상의 주소
인터넷 보안을 모니터링하는 Shadowserver 그룹은 SAP Commerce Cloud 지문을 보유한 4,200개 이상의 IP 주소를 관측하고 있으며, 대부분은 유럽과 북미에 집중되어 있습니다. 이 시스템 중 몇 개가 허니팟인지, 또는 CVE-2026-58231 악용으로부터 이미 보호된 시스템이 몇 개인지를 특정할 수 있는 정보는 없습니다.
이번 사건은 Commerce Cloud에 영향을 미친 일련의 보안 업데이트 가운데 발생했습니다. SAP는 2026년 7월 보안 패치 패키지에서 16개의 취약점을 수정했으며, 6월과 5월에도 30개의 추가 취약점을 수정했습니다. 여기에는 CVE-2026-44761, CVE-2026-22732, CVE-2026-34263이라는 3개의 치명적 취약점이 포함됩니다.
2021년 11월 이후 미국 사이버보안·인프라 보안국(CISA)은 SAP 제품의 취약점 14개를 알려진 악용 취약점 카탈로그에 추가했으며, 그중 3개는 랜섬웨어 공격에 사용되었습니다. 또한 Aikido와 Socket은 4월에 공격자들이 공급망 공격으로 SAP에 속한 여러 공식 npm 패키지를 침해한 뒤 개발자 시스템에서 자격 증명을 탈취하려고 했다고 보고했습니다.