SAP-Commerce-Cloud-Schwachstelle wird bei Angriffen ausgenutzt

Sicherheitsforscher haben Angriffe auf eine SAP-Commerce-Cloud-Schwachstelle mit maximalem Schweregrad entdeckt – nur drei Tage nachdem SAP ein Sicherheitsupdate veröffentlicht hatte.

Die SAP-Commerce-Cloud-Schwachstelle mit der Kennung CVE-2026-58231 ermöglicht es einem nicht authentifizierten Angreifer, beliebigen Code auszuführen. Forscher von Defused entdeckten am Freitag erstmals Versuche, die Schwachstelle gegen ihre Honeypots auszunutzen.

Kritische Schwachstelle ermöglicht Remote Code Execution

CVE-2026-58231 betrifft die zentrale Data-Hub-Adapter-Erweiterung in SAP Commerce Cloud, die früher als SAP Hybris bekannt war.

SAP hat der Schwachstelle einen CVSS-Wert von 10,0 zugewiesen, der höchstmöglichen Einstufung. Das Problem entsteht durch eine unzureichende Autorisierung und erfordert weder gültige Zugangsdaten noch komplexe Angriffsschritte.

Laut SAP kann ein Angreifer einen standardmäßigen Authentifizierungsclient missbrauchen und speziell präparierte Eingaben an anfällige Funktionen senden, bei denen eine ausreichende Validierung fehlt.

Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen, beliebigen Code auszuführen und interne Anwendungskomponenten zu kompromittieren. Dadurch könnten die Vertraulichkeit, Integrität und Verfügbarkeit eines betroffenen Systems beeinträchtigt werden.

Forscher entdecken aktive Angriffe

SAP führte die SAP-Commerce-Cloud-Schwachstelle bei der Veröffentlichung seiner Sicherheitsmeldung für August nicht als aktiv ausgenutzt auf. Das Threat-Intelligence-Unternehmen Defused entdeckte jedoch kurz darauf entsprechende Angriffsversuche.

Defused berichtete, dass die Angriffe seine Honeypots nur drei Tage nach SAPs Patch Day erreichten. Die Forscher wiesen darauf hin, dass kein öffentlicher Proof-of-Concept-Exploit verfügbar war und sie zuvor keine Ausnutzung der Schwachstelle beobachtet hatten.

SAP bestätigte, den Bericht zu kennen, und untersucht die Aktivitäten.

Das Unternehmen forderte Kunden und Partner dazu auf, das verfügbare Sicherheitsupdate unverzüglich zu installieren.

Tausende exponierte Systeme könnten gefährdet sein

Shadowserver verfolgt mehr als 4.200 IP-Adressen, auf denen offenbar SAP Commerce Cloud läuft. Die meisten identifizierten Systeme befinden sich in Europa und Nordamerika.

Die Zahl zeigt jedoch nicht, wie viele dieser Installationen Honeypots sind, bereits aktualisiert wurden oder so mit dem Internet verbunden sind, dass Angreifer sie tatsächlich erreichen können.

SAP Commerce Cloud ist eine cloudbasierte E-Commerce-Plattform, die von großen Einzelhändlern und internationalen Marken genutzt wird. Die Plattform kann wertvolle Kunden-, Produkt- und Geschäftsdaten enthalten, wodurch ungepatchte Installationen zu attraktiven Zielen werden.

SAP behebt weiterhin schwerwiegende Schwachstellen

SAP hat in den vergangenen Monaten mehrere Sicherheitsupdates für Commerce Cloud veröffentlicht.

Das Sicherheitspaket des Unternehmens für Juli 2026 behob 16 Schwachstellen. Im Mai und Juni beseitigte SAP weitere 30 Sicherheitslücken. Zu diesen Updates gehörten drei weitere kritische Commerce-Cloud-Schwachstellen: CVE-2026-44761, CVE-2026-22732 und CVE-2026-34263.

Das Unternehmen war Anfang des Jahres außerdem von einem Vorfall in der Software-Lieferkette betroffen. Im April berichteten Aikido und Socket, dass Angreifer mehrere offizielle npm-Pakete von SAP kompromittiert hatten, um Zugangsdaten von Entwicklern zu stehlen.

CISA hat seit November 2021 insgesamt 14 SAP-Schwachstellen in seinen Known Exploited Vulnerabilities Catalog aufgenommen. Drei dieser Sicherheitslücken wurden bei Ransomware-Angriffen eingesetzt. Dies unterstreicht, warum Unternehmen die Installation des Sicherheitsupdates für die aktuelle SAP-Commerce-Cloud-Schwachstelle dringend priorisieren sollten.