Una vulnerabilità di massima gravità che interessa SAP Commerce Cloud, identificata con il codice CVE-2026-58231, è già oggetto di tentativi di sfruttamento a pochi giorni dal rilascio di un aggiornamento di sicurezza da parte di SAP.

La vulnerabilità presenta un punteggio CVSS pari a 10,0 e deriva da controlli di autorizzazione insufficienti, combinati a una convalida degli input inadeguata. Un aggressore non autenticato potrebbe essere in grado di sfruttare un client di autenticazione predefinito e inviare input appositamente manipolati alle funzioni vulnerabili dell’applicazione.

Uno sfruttamento riuscito potrebbe comportare l’esecuzione di codice arbitrario, la compromissione dei componenti interni di SAP Commerce Cloud e un impatto significativo sulla riservatezza, l’integrità e la disponibilità degli ambienti interessati.

Le organizzazioni che utilizzano SAP Commerce Cloud dovrebbero considerare questa vulnerabilità una priorità urgente da risolvere.

Attività delle minacce

Defused Cyber ha riferito di aver osservato tentativi di sfruttamento contro la propria infrastruttura honeypot circa tre giorni dopo la disponibilità della patch di sicurezza. L’attività è particolarmente preoccupante poiché, al momento dell’osservazione dei tentativi, non era stato identificato alcun exploit proof-of-concept pubblico, il che suggerisce che gli autori delle minacce possano aver sviluppato autonomamente capacità di sfruttamento poco dopo la divulgazione.

L’identità e le motivazioni degli autori che attualmente prendono di mira la vulnerabilità CVE-2026-58231 rimangono sconosciute. Al momento non vi sono prove sufficienti per attribuire l’attività a un gruppo di minaccia specifico.

Precedenti vulnerabilità critiche che interessavano i prodotti SAP hanno attirato sia attori malintenzionati legati agli Stati sia quelli con motivazioni finanziarie. Vulnerabilità SAP precedenti, tra cui la CVE-2025-31324 che interessava SAP NetWeaver, sono state sfruttate da cluster legati alla Cina, quali UNC5221 e UNC5174, nonché da gruppi di ransomware e di criminalità informatica. Questi casi storici non consentono di attribuire la responsabilità dell’attuale attività su SAP Commerce Cloud, ma dimostrano l’elevato interesse degli aggressori per le vulnerabilità SAP sfruttabili da remoto.

Dettagli sulla vulnerabilità

CVE-2026-58231 riguarda controlli di autorizzazione e convalida degli input insufficienti all’interno di SAP Commerce Cloud. Un aggressore non autenticato può potenzialmente utilizzare in modo improprio un client di autenticazione predefinito per interagire con funzioni che non convalidano adeguatamente gli input controllati dall’aggressore.

Lo sfruttamento potrebbe consentire all’autore dell’attacco di eseguire codice arbitrario all’interno dell’ambiente interessato e compromettere i componenti interni dell’applicazione. Poiché l’autenticazione non è richiesta per il percorso di attacco vulnerabile, i sistemi esposti potrebbero essere esposti a un rischio maggiore di compromissione remota.

La combinazione di accesso non autenticato, potenziale esecuzione di codice remoto, punteggio CVSS massimo e attività di sfruttamento osservata rende CVE-2026-58231 un rischio critico per la sicurezza aziendale.

Azioni consigliate

Le organizzazioni che utilizzano SAP Commerce Cloud dovrebbero identificare immediatamente le implementazioni interessate e aggiornarle alle versioni corrette di Commerce Cloud specificate da SAP. Secondo le linee guida di sicurezza SAP citate da Onapsis, la correzione richiede ai clienti di aggiornare la versione di SAP Commerce Cloud e, successivamente, di ricostruire e ridistribuire l’ambiente interessato.

Laddove non sia possibile procedere immediatamente all’applicazione della patch e alla ridistribuzione, gli amministratori dovrebbero implementare la misura di mitigazione temporanea raccomandata da SAP configurando un set di filtri IP per limitare l’accesso all’endpoint vulnerabile. Tale misura di mitigazione dovrebbe essere considerata come una misura temporanea di riduzione dell’esposizione piuttosto che come un sostituto dell’applicazione della versione corretta.

I team di sicurezza dovrebbero inoltre esaminare i servizi SAP Commerce Cloud esposti a Internet e determinare se gli endpoint vulnerabili fossero accessibili dall’esterno prima della correzione. Particolare attenzione dovrebbe essere prestata ai sistemi rimasti esposti dopo la divulgazione della vulnerabilità.

Ricerca delle minacce e monitoraggio

Le organizzazioni dovrebbero esaminare SAP Commerce Cloud, il proxy inverso, il firewall delle applicazioni web, l’autenticazione, le applicazioni e la telemetria di rete alla ricerca di richieste sospette dirette all’endpoint interessato. Le indagini dovrebbero concentrarsi su richieste insolite non autenticate, input malformati o inattesi, interazioni anomale che coinvolgono il client di autenticazione predefinito e attività provenienti da infrastrutture esterne precedentemente sconosciute o sospette.

Poiché uno sfruttamento riuscito potrebbe portare all’esecuzione di codice arbitrario, i responsabili della sicurezza dovrebbero inoltre indagare su processi inattesi, file di nuova creazione, modifiche di configurazione non autorizzate, connessioni di rete in uscita, meccanismi di persistenza di nuova creazione e attività anomale che coinvolgono account di applicazioni o servizi.

L’assenza di un proof-of-concept pubblico non deve essere interpretata come prova che lo sfruttamento sia improbabile. L’attività osservata sugli honeypot indica che le tecniche di sfruttamento potrebbero già essere disponibili almeno per alcuni attori malintenzionati.

Se siete preoccupati per una qualsiasi delle minacce descritte in questo bollettino o avete bisogno di aiuto per determinare quali misure adottare per proteggervi dalle minacce più rilevanti che la vostra organizzazione deve affrontare, contattate il vostro account manager o, in alternativa, mettetevi in contatto con noi per scoprire come proteggere la vostra organizzazione.