SAP Commerce Cloud, CVE-2026-58231 wird bereits angegriffen: maximales Risiko für exponierte Installationen

Kritische Schwachstelle in Honeypots beobachtet

CVE-2026-58231, eine kritische Schwachstelle in SAP Commerce Cloud, wird bereits aktiv auszunutzen versucht. Defused, ein Unternehmen für Threat Intelligence, meldete dies am 14. August 2026, nachdem die ersten Aktivitäten in den eigenen Honeypots festgestellt worden waren.

SAP hatte die Schwachstelle laut BleepingComputer drei Tage zuvor behoben. Der Eintrag in der National Vulnerability Database wurde am 11. August 2026 veröffentlicht und am 12. August 2026 geändert. SAP hatte die Schwachstelle in seinem Advisory jedoch noch nicht offiziell als aktiv ausgenutzt eingestuft.

Damit besteht ein Unterschied zwischen der operativen Beobachtung durch Defused und der Einstufung in der NVD. Defused berichtet von realen Angriffen auf die eigenen Überwachungssysteme, während das von der NVD übernommene SSVC-Feld der CISA exploitation: none ausweist. Dasselbe Feld stuft die Schwachstelle jedoch als automatisierbar und mit vollständigen technischen Auswirkungen ein.

Ein öffentlicher PoC ist nicht verfügbar. Defused zufolge war CVE-2026-58231 zuvor nicht als ausgenutzt bekannt.

Der Fehler betrifft den Data Hub Adapter

CVE-2026-58231 betrifft die Erweiterung Data Hub Adapter von SAP Commerce Cloud. Die Schwachstelle liegt in den Autorisierungskontrollen und im Umgang mit einem standardmäßig konfigurierten Authentifizierungs-Client.

Ein nicht authentifizierter Angreifer aus der Ferne kann speziell manipulierte Eingaben an Funktionen senden, die keine ausreichende Validierung durchführen. Für dieses Szenario sind weder Zugangsdaten noch eine Benutzerinteraktion oder komplexe technische Voraussetzungen erforderlich.

Laut NVD-Eintrag ist die Schwachstelle als CWE-94 klassifiziert, also als unsachgemäße Kontrolle der Codegenerierung – eine Kategorie, die mit Code Injection verbunden ist. Ein erfolgreicher Angriff kann zur beliebigen Codeausführung und zur Kompromittierung interner Anwendungskomponenten führen.

Der CVSS-3.1-Score beträgt 10,0 und erreicht damit den maximal möglichen Wert. Der Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Die Kombination bedeutet, dass der Angriff über das Netzwerk, mit geringer Komplexität sowie ohne Authentifizierung oder Benutzerinteraktion ausgeführt werden kann. Vertraulichkeit, Integrität und Verfügbarkeit sind in hohem Maß betroffen – auch über die direkt verwundbare Komponente hinaus.

Betroffene Versionen und potenzielle Angriffsfläche

Betroffen ist SAP Commerce Cloud (Data Hub Adapter), das im NVD-Katalog als Produkt von SAP_SE geführt wird. Als verwundbar gelten:

• COM_CLOUD 2211;
• 2211-JDK21.

Korrigierte Build-Nummern, möglicherweise nicht verwundbare Versionen oder separate offizielle Workarounds neben dem SAP-Fix wurden nicht veröffentlicht. Die wichtigste technische Referenz ist die SAP Note 3771065 zusammen mit der SAP-Seite zum Security Patch Day.

SAP Commerce Cloud war früher unter dem Namen SAP Hybris bekannt. Die Plattform wird von Online-Shops großer Marken und internationaler Händler eingesetzt. Eine mögliche Kompromittierung exponierter Instanzen ist daher besonders relevant.

Einen Hinweis auf die Internet-Angriffsfläche liefert Shadowserver: Dort werden mehr als 4.200 IP-Adressen mit einem Fingerprint von SAP Commerce Cloud erfasst. Die meisten befinden sich in Europa und Nordamerika. Unklar ist jedoch, wie viele Systeme Honeypots sind, bereits aktualisiert wurden oder tatsächlich für Angriffe auf CVE-2026-58231 verwundbar sind.

Ein zweites kritisches Problem betrifft OAuth2

Das Risiko beschränkt sich nicht auf die Schwachstelle im Data Hub Adapter. SAP Commerce Cloud ist auch von CVE-2026-44761 betroffen, einer kritischen Schwachstelle mit einem CVSS-3.1-Score von 9,1.

Der Fehler betrifft einen beispielhaften OAuth2-Client, der mit öffentlich dokumentierten Zugangsdaten in der Konfiguration des SAP-Help-Portals verbleiben kann. Ersetzen Administratoren diese Daten nicht, kann ein nicht authentifizierter Angreifer sie verwenden, um ein gültiges Token zu erhalten.

Mit diesem Token lassen sich APIs aufrufen, die Daten lesen und verändern können. Die Auswirkungen auf Vertraulichkeit und Integrität sind daher erheblich, während die Verfügbarkeit nicht betroffen ist. Die Schwachstelle ist als CWE-1392 klassifiziert und betrifft die Verwendung von Standardzugangsdaten.

Als verwundbar gelten:

• HY_COM 2205;
• COM_CLOUD 2211;
• 2211-JDK21.

Die SAP-Referenz ist die SAP Note 3753495. Unternehmen sollten insbesondere prüfen, ob beispielhafte OAuth2-Clients vorhanden sind, die öffentlich bekannten Zugangsdaten ersetzen und möglicherweise noch verwendete Secrets rotieren.

SAP war bereits Ziel weiterer ausgenutzter Schwachstellen

Die neue Meldung reiht sich in eine Serie kritischer Probleme im SAP-Ökosystem ein. Zu den weiteren genannten Schwachstellen in SAP Commerce Cloud gehören:

• CVE-2026-22732, CVSS 9,1;
• CVE-2026-34263, CVSS 9,6;
• CVE-2026-44761, CVSS 9,1.

SAP behob im Security-Patch-Paket vom Juli 2026 insgesamt 16 Schwachstellen und in den im Juni und Mai veröffentlichten Paketen weitere 30.

Seit November 2021 hat die CISA 14 SAP-Schwachstellen in den Katalog Known Exploited Vulnerabilities aufgenommen. Drei davon wurden Berichten zufolge bei Ransomware-Angriffen eingesetzt. Für CVE-2026-58231 sind bislang weder eine Aufnahme in den KEV-Katalog noch eine CISA-Frist zur Behebung bekannt.

Dieser Kontext erhöht das operative Risiko für Unternehmen, die Commerce Cloud einsetzen – insbesondere, wenn die Instanzen aus dem Internet erreichbar und mit Systemen für Auftragsverwaltung, Kunden, Kataloge und Zahlungen verbunden sind.

Was Administratoren tun sollten

Priorität hat die Installation des zur SAP Note 3771065 gehörenden Fixes sowie der SAP-Security-Patch-Day-Aktualisierungen. Unternehmen sollten außerdem:

1. prüfen, welche Commerce-Cloud-Instanzen öffentlich erreichbar sind;
2. nach standardmäßig eingerichteten Clients und Authentifizierungsdaten suchen;
3. die Hinweise der SAP Note 3753495 zu CVE-2026-44761 umsetzen;
4. noch vorhandene Beispielzugangsdaten und Secrets rotieren;
5. die Logs des Data Hub Adapters und der OAuth2-APIs untersuchen;
6. nach nicht authentifizierten Anfragen, ungewöhnlichen Eingaben und unerwarteten Zugriffsversuchen suchen.

Spezifische Indicators of Compromise, Detection Rules oder Bereinigungsverfahren wurden nicht veröffentlicht. Die Logs sollten daher mit den Zeiträumen der Exponierung, Anfragen aus ungewöhnlichen Netzwerken und allen nachfolgenden Aktivitäten korreliert werden, die auf Codeausführung oder den Missbrauch von OAuth2-Tokens hindeuten.

Die Angriffsversuche auf Honeypots beweisen für sich genommen nicht, dass jedes exponierte System kompromittiert wurde. Bei einer Schwachstelle mit einem CVSS-Score von 10,0 sollte die Behebung jedoch nicht auf weitere öffentliche Bestätigungen warten.