SAP Commerce Cloud, CVE-2026-58231 è già sotto attacco: rischio massimo per le installazioni esposte

Una vulnerabilità critica osservata negli honeypot

CVE-2026-58231, una falla critica di SAP Commerce Cloud, è già oggetto di tentativi di sfruttamento. La segnalazione è arrivata il 14 agosto 2026 da Defused, società di threat intelligence che ha rilevato le prime attività nei propri honeypot.

La vulnerabilità era stata corretta da SAP tre giorni prima, secondo quanto riferito da BleepingComputer. Il record del National Vulnerability Database è stato pubblicato l’11 agosto 2026 e modificato il 12 agosto 2026. SAP, tuttavia, non aveva ancora classificato ufficialmente la falla come attivamente sfruttata nel proprio advisory.

Esiste quindi una differenza tra l’osservazione operativa di Defused e la classificazione presente nel database NVD. Defused parla di tentativi reali contro i propri sistemi di monitoraggio, mentre il campo SSVC di CISA riportato da NVD indica exploitation: none. Lo stesso campo definisce però la vulnerabilità come automatizzabile e con impatto tecnico totale.

Non è disponibile un PoC pubblico e Defused afferma che CVE-2026-58231 non era stata precedentemente nota come sfruttata.

Il difetto riguarda il Data Hub Adapter

CVE-2026-58231 interessa l’estensione Data Hub Adapter di SAP Commerce Cloud. La debolezza riguarda i controlli di autorizzazione e la gestione di un client di autenticazione predefinito.

Un attaccante remoto non autenticato può inviare input appositamente manipolati a funzioni che non applicano una validazione sufficiente. Lo scenario non richiede credenziali, interazione dell’utente o condizioni tecniche complesse.

Secondo il record NVD, la falla è classificata come CWE-94, cioè controllo improprio della generazione di codice, una categoria associata al code injection. In pratica, lo sfruttamento può portare all’esecuzione arbitraria di codice e alla compromissione di componenti interni dell’applicazione.

Il punteggio CVSS 3.1 è 10.0, il massimo possibile. Il vettore è:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

La combinazione indica un attacco eseguibile via rete, con bassa complessità, senza autenticazione né interazione dell’utente. Gli impatti riguardano in misura elevata riservatezza, integrità e disponibilità, anche oltre il componente direttamente vulnerabile.

Versioni interessate ed esposizione potenziale

Il prodotto coinvolto è SAP Commerce Cloud (Data Hub Adapter), identificato nel catalogo NVD come prodotto di SAP_SE. Le configurazioni indicate come vulnerabili sono:

• COM_CLOUD 2211;
• 2211-JDK21.

Non sono stati resi noti i numeri di build corretti, eventuali versioni non vulnerabili o workaround ufficiali separati dalla correzione SAP. Il riferimento tecnico principale è la SAP Note 3771065, insieme alla pagina SAP Security Patch Day.

SAP Commerce Cloud era precedentemente noto come SAP Hybris. La piattaforma viene utilizzata da negozi online appartenenti a grandi marchi e retailer internazionali, rendendo particolarmente rilevante l’eventuale compromissione di un’istanza esposta.

Un’indicazione sulla superficie Internet arriva da Shadowserver, che rileva oltre 4.200 indirizzi IP associati a un fingerprint di SAP Commerce Cloud. La maggior parte si trova in Europa e Nord America. Non è però noto quanti sistemi siano honeypot, quanti siano già stati aggiornati o quanti risultino effettivamente vulnerabili agli attacchi contro CVE-2026-58231.

Un secondo problema critico coinvolge OAuth2

Il rischio non è limitato alla falla del Data Hub Adapter. SAP Commerce Cloud è interessato anche da CVE-2026-44761, vulnerabilità critica con punteggio CVSS 3.1 pari a 9.1.

Il difetto riguarda un client OAuth2 di esempio che può rimanere nella configurazione del portale SAP Help con credenziali pubblicamente documentate. Se gli amministratori non sostituiscono quei dati, un attaccante non autenticato può usarli per ottenere un token valido.

Il token consente di richiamare API capaci di leggere e modificare dati. L’impatto è quindi elevato su riservatezza e integrità, mentre la disponibilità non risulta coinvolta. La classificazione è CWE-1392, relativa all’uso di credenziali predefinite.

Le versioni indicate come vulnerabili sono:

• HY_COM 2205;
• COM_CLOUD 2211;
• 2211-JDK21.

Il riferimento SAP è la SAP Note 3753495. Le organizzazioni dovrebbero verificare in particolare la presenza di client OAuth2 di esempio, sostituire le credenziali pubbliche e ruotare i segreti eventualmente ancora utilizzati.

SAP è già stata bersaglio di altre falle sfruttate

La nuova segnalazione si inserisce in una serie di problemi critici che hanno interessato l’ecosistema SAP. Tra le altre vulnerabilità di SAP Commerce Cloud citate figurano:

• CVE-2026-22732, CVSS 9.1;
• CVE-2026-34263, CVSS 9.6;
• CVE-2026-44761, CVSS 9.1.

SAP ha corretto 16 vulnerabilità nel pacchetto Security Patch di luglio 2026 e altre 30 nei pacchetti pubblicati a giugno e maggio.

Dal novembre 2021, CISA ha aggiunto 14 vulnerabilità SAP al catalogo Known Exploited Vulnerabilities. Tre di queste, secondo quanto riferito, sono state utilizzate in attacchi ransomware. Per CVE-2026-58231 non sono riportati un inserimento nel catalogo KEV né una scadenza CISA per la correzione.

Il contesto aumenta il rischio operativo per le aziende che utilizzano Commerce Cloud, soprattutto quando le istanze sono raggiungibili da Internet e collegate a sistemi di gestione ordini, clienti, cataloghi e pagamenti.

Cosa devono fare gli amministratori

La priorità è applicare la correzione associata alla SAP Note 3771065 e al Security Patch Day SAP. Le organizzazioni dovrebbero inoltre:

1. verificare quali istanze Commerce Cloud siano esposte pubblicamente;
2. controllare la presenza di client e credenziali di autenticazione predefiniti;
3. applicare le indicazioni della SAP Note 3753495 per CVE-2026-44761;
4. ruotare credenziali e segreti di esempio ancora presenti;
5. esaminare i log del Data Hub Adapter e delle API OAuth2;
6. cercare richieste non autenticate, input anomali e tentativi di accesso inattesi.

Non sono stati pubblicati indicatori di compromissione, regole di rilevamento o procedure di bonifica specifiche. I log dovrebbero quindi essere analizzati in correlazione con gli orari di esposizione, le richieste provenienti da reti insolite e qualsiasi attività successiva compatibile con l’esecuzione di codice o l’uso abusivo di token OAuth2.

La presenza di tentativi sugli honeypot non dimostra da sola che ogni sistema esposto sia stato compromesso. In presenza di una vulnerabilità con CVSS 10.0, però, la correzione non dovrebbe essere rinviata in attesa di ulteriori conferme pubbliche.