Eine Sicherheitslücke mit höchster Schweregradstufe, die SAP Commerce Cloud betrifft und unter der Kennung CVE-2026-58231 erfasst ist, wird bereits wenige Tage nach der Veröffentlichung eines Sicherheitsupdates durch SAP gezielt ausgenutzt.
Die Sicherheitslücke weist einen CVSS-Wert von 10,0 auf und resultiert aus unzureichenden Autorisierungsprüfungen in Verbindung mit einer unzureichenden Eingabevalidierung. Ein nicht authentifizierter Angreifer könnte möglicherweise einen Standard-Authentifizierungsclient missbrauchen und speziell gestaltete Eingaben an anfällige Anwendungsfunktionen übermitteln.
Eine erfolgreiche Ausnutzung könnte zur Ausführung von beliebigem Code, zur Kompromittierung interner Komponenten der SAP Commerce Cloud sowie zu erheblichen Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der betroffenen Umgebungen führen.
Unternehmen, die SAP Commerce Cloud einsetzen, sollten diese Sicherheitslücke als dringende Priorität bei der Behebung behandeln.
Defused Cyber berichtete, etwa drei Tage nach Veröffentlichung des Sicherheitspatches Ausnutzungsversuche gegen seine Honeypot-Infrastruktur beobachtet zu haben. Diese Aktivitäten sind besonders besorgniserregend, da zum Zeitpunkt der Beobachtung noch kein öffentlicher Proof-of-Concept-Exploit identifiziert worden war, was darauf hindeutet, dass Angreifer möglicherweise kurz nach der Offenlegung eigenständig Ausnutzungsmöglichkeiten entwickelt haben.
Die Identität und die Motive der Akteure, die derzeit CVE-2026-58231 ins Visier nehmen, sind weiterhin unbekannt. Derzeit liegen keine ausreichenden Beweise vor, um die Aktivitäten einer bestimmten Bedrohungsgruppe zuzuordnen.
Frühere kritische Sicherheitslücken in SAP-Produkten haben sowohl staatlich verknüpfte als auch finanziell motivierte Angreifer auf den Plan gerufen. Frühere SAP-Sicherheitslücken, darunter CVE-2025-31324, die SAP NetWeaver betraf, wurden von mit China verknüpften Gruppen wie UNC5221 und UNC5174 sowie von Ransomware- und Cyberkriminalitätsgruppen ausgenutzt. Diese früheren Fälle liefern zwar keine Hinweise auf die Urheber der aktuellen Aktivitäten bei der SAP Commerce Cloud, zeigen jedoch das große Interesse der Angreifer an SAP-Sicherheitslücken, die aus der Ferne ausgenutzt werden können.
CVE-2026-58231 betrifft unzureichende Autorisierungskontrollen und Eingabevalidierung innerhalb der SAP Commerce Cloud. Ein nicht authentifizierter Angreifer kann potenziell einen Standard-Authentifizierungsclient missbrauchen, um mit Funktionen zu interagieren, die vom Angreifer kontrollierte Eingaben nicht ausreichend validieren.
Die Ausnutzung könnte es dem Angreifer ermöglichen, beliebigen Code innerhalb der betroffenen Umgebung auszuführen und interne Anwendungskomponenten zu kompromittieren. Da für den anfälligen Angriffspfad keine Authentifizierung erforderlich ist, besteht für exponierte Systeme ein erhöhtes Risiko einer Fernkompromittierung.
Die Kombination aus nicht authentifiziertem Zugriff, potenzieller Remote-Code-Ausführung, einem maximalen CVSS-Score und beobachteten Ausnutzungsaktivitäten macht CVE-2026-58231 zu einem kritischen Sicherheitsrisiko für Unternehmen.
Unternehmen, die SAP Commerce Cloud einsetzen, sollten betroffene Bereitstellungen unverzüglich identifizieren und auf die von SAP angegebenen, behobenen Commerce-Cloud-Release-Stände aktualisieren. Gemäß den von Onapsis zitierten SAP-Sicherheitsrichtlinien erfordert die Behebung, dass Kunden die SAP-Commerce-Cloud-Version aktualisieren und anschließend die betroffene Umgebung neu erstellen und bereitstellen.
Falls eine sofortige Fehlerbehebung und Neuinstallation nicht möglich sind, sollten Administratoren die von SAP empfohlene vorübergehende Abhilfemaßnahme umsetzen, indem sie einen IP-Filtersatz konfigurieren, um den Zugriff auf den anfälligen Endpunkt einzuschränken. Diese Maßnahme sollte als vorübergehende Maßnahme zur Verringerung des Sicherheitsrisikos betrachtet werden und nicht als Ersatz für die Anwendung der korrigierten Version.
Sicherheitsteams sollten zudem die mit dem Internet verbundenen SAP-Commerce-Cloud-Dienste überprüfen und feststellen, ob anfällige Endpunkte vor der Behebung von außen zugänglich waren. Besondere Aufmerksamkeit sollte Systemen gelten, die nach der Offenlegung der Sicherheitslücke weiterhin exponiert blieben.
Unternehmen sollten die Telemetriedaten von SAP Commerce Cloud, Reverse-Proxy, Web Application Firewall, Authentifizierung, Anwendungen und Netzwerk auf verdächtige Anfragen überprüfen, die an den betroffenen Endpunkt gerichtet sind. Die Untersuchungen sollten sich auf ungewöhnliche, nicht authentifizierte Anfragen, fehlerhafte oder unerwartete Eingaben, abnormale Interaktionen mit dem Standard-Authentifizierungsclient sowie Aktivitäten konzentrieren, die von bisher unbekannter oder verdächtiger externer Infrastruktur ausgehen.
Da eine erfolgreiche Ausnutzung zur Ausführung von beliebigem Code führen könnte, sollten Sicherheitsverantwortliche zudem unerwartete Prozesse, neu erstellte Dateien, unbefugte Konfigurationsänderungen, ausgehende Netzwerkverbindungen, neu eingerichtete Persistenzmechanismen sowie anomale Aktivitäten im Zusammenhang mit Anwendungs- oder Dienstkonten untersuchen.
Das Fehlen eines öffentlichen Proof-of-Concept sollte nicht als Hinweis darauf interpretiert werden, dass eine Ausnutzung unwahrscheinlich ist. Beobachtete Honeypot-Aktivitäten deuten darauf hin, dass zumindest einigen Angreifern möglicherweise bereits Ausnutzungstechniken zur Verfügung stehen.
Wenn Sie Bedenken hinsichtlich einer der in diesem Bulletin beschriebenen Bedrohungen haben oder Hilfe bei der Festlegung geeigneter Maßnahmen benötigen, um sich vor den für Ihr Unternehmen relevantesten Bedrohungen zu schützen, wenden Sie sich bitte an Ihren Kundenbetreuer oder kontaktieren Sie uns, um zu erfahren, wie Sie Ihr Unternehmen schützen können.