SAP Commerce Cloud: Lücke bereits im Visier von Angreifern : Für CVE-2026-58231 reichen fehlende Prüfungen bis zur Ausführung beliebigen Codes
Nur drei Tage nach Veröffentlichung des Patches gab es erste Exploit-Versuche gegen SAP Commerce Cloud. CVE-2026-58231 erreicht mit einem CVSS-Wert von 10,0 die Maximalwertung: Ein nicht authentifizierter Angreifer kann einen standardmäßig vorhandenen Authentifizierungs-Client missbrauchen und im schlimmsten Fall beliebigen Code ausführen.
SAP schloss die Schwachstelle am Patch Day vom 11. August 2026 mit Security Note 3771065. Betroffen ist der Data Hub Adapter von SAP Commerce Cloud in den Versionen COM_CLOUD 2211 und 2211-JDK21. Ursache ist eine Kombination aus unzureichenden Autorisierungsprüfungen und mangelnder Eingabevalidierung. SAP stuft die Lücke als „Critical“ beziehungsweise HotNews ein.
Nach der Beschreibung von CVE.org kann ein nicht angemeldeter Angreifer einen standardmäßig verfügbaren Authentifizierungs-Client missbrauchen und speziell präparierte Eingaben an Funktionen übermitteln, die diese Daten nicht ausreichend überprüfen. Eine erfolgreiche Ausnutzung kann dadurch Arbitrary Code Execution (ACE) ermöglichen und interne Komponenten kompromittieren. Die Auswirkungen betreffen Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung in hohem Maß.
Exploit-Versuche drei Tage nach dem Patch
Besonders brisant ist die Geschwindigkeit, mit der die Schwachstelle ins Visier von Angreifern geraten ist. Nach Angaben des Threat-Intelligence-Anbieters Defused Cyber registrierten dessen Honeypots bereits drei Tage nach Bereitstellung des Patches erste Exploit-Versuche gegen CVE-2026-58231.
Dabei ist zwischen Exploit-Versuchen und nachgewiesenen erfolgreichen Kompromittierungen zu unterscheiden. Ein öffentlich verfügbarer Proof of Concept (PoC) war zu diesem Zeitpunkt nicht bekannt. Defused Cyber erklärte entsprechend, es gebe keinen öffentlichen PoC und bislang keinen bestätigten Nachweis einer erfolgreichen Ausnutzung. Die beobachteten Zugriffe zeigen jedoch, dass Akteure bereits aktiv nach verwundbaren Systemen suchen oder eigene Exploit-Ansätze testen. Wer hinter den Aktivitäten steckt, ist bislang nicht bekannt.
Unauthentifizierter Zugriff mit weitreichenden Folgen
Onapsis bestätigt die hohe Tragweite der Schwachstelle. Aufgrund der fehlenden Prüfungen kann ein erfolgreicher Angreifer Code im Kontext der betroffenen Commerce-Cloud-Komponente ausführen und interne Bestandteile der Plattform kompromittieren. Damit eröffnet sich potenziell ein Ausgangspunkt für weitergehende Zugriffe auf Anwendung, Daten oder angeschlossene Systeme.
Die Maximalbewertung von CVSS 10,0 ergibt sich insbesondere daraus, dass für den Angriff keine vorherige Authentifizierung erforderlich ist und eine erfolgreiche Ausnutzung erhebliche Auswirkungen auf alle drei klassischen Sicherheitsziele haben kann. SAP empfiehlt deshalb ausdrücklich, die bereitgestellten Korrekturen mit hoher Priorität einzuspielen.
Patch allein reicht nicht: Neu bauen und deployen
Bei SAP Commerce Cloud genügt es nicht, lediglich eine einzelne Datei oder Komponente auszutauschen. Nach Angaben von Onapsis müssen Kunden auf die in SAP Security Note 3771065 genannten korrigierten Release-Stände wechseln und anschließend die aktualisierte Commerce-Cloud-Version neu bauen und erneut deployen. Falls eine sofortige Aktualisierung nicht möglich ist, empfiehlt Onapsis als temporäre Gegenmaßnahme, ein IP Filter Set in SAP Commerce Cloud einzurichten. Dadurch lässt sich der Zugriff auf den verwundbaren Endpoint auf festgelegte Quelladressen begrenzen. Diese Maßnahme reduziert die Angriffsfläche, ersetzt den Patch jedoch nicht.
Frühere SAP-Lücke lockte Spionage- und Ransomware-Gruppen an
Wie attraktiv kritische SAP-Schwachstellen für unterschiedliche Angreifergruppen sind, zeigte bereits CVE-2025-31324 in SAP NetWeaver. Die ebenfalls ohne Authentifizierung ausnutzbare Lücke erlaubte das Hochladen und Ausführen schädlicher Dateien und konnte damit zur vollständigen Übernahme eines SAP-Systems führen. Unit 42 beobachtete verdächtige Zugriffe auf den verwundbaren /developmentserver/metadatauploader-Endpoint bereits vor der öffentlichen Bekanntgabe und später unterschiedliche Payloads sowie Webshells.
Im Umfeld dieser Schwachstelle wurden unter anderem China-nahe Spionagecluster wie UNC5221, UNC5174 und CL-STA-0048 sowie Cybercrime-Akteure wie BianLian und RansomExx genannt. Bei einem weiteren Angriff im April 2025 missbrauchten unbekannte Akteure CVE-2025-31324 gegen ein US-amerikanisches Chemieunternehmen und installierten die Backdoor Auto-Color.
Für CVE-2026-58231 gibt es bislang keinen belastbaren Hinweis auf eine Verbindung zu diesen Gruppen. Die früheren Angriffe verdeutlichen jedoch, wie schnell eine kritische, aus dem Netz erreichbare SAP-Schwachstelle nach Veröffentlichung in reale Angriffskampagnen einfließen kann.
SAP-Systeme jetzt auf Verwundbarkeit prüfen
Betreiber von SAP Commerce Cloud sollten deshalb zunächst feststellen, ob COM_CLOUD 2211 oder 2211-JDK21 mit dem betroffenen Data Hub Adapter eingesetzt wird. Anschließend sind die in Security Note 3771065 genannten korrigierten Release-Stände einzuspielen, die Anwendung neu zu bauen und erneut bereitzustellen. Bis dahin sollte der verwundbare Endpoint über IP-Filter möglichst stark eingeschränkt werden. Die bereits wenige Tage nach dem Patch beobachteten Exploit-Versuche zeigen, dass für exponierte Systeme nur ein sehr kleines Zeitfenster zwischen Veröffentlichung einer kritischen Schwachstelle und ersten Angriffen bleibt.
FAQ CVE-2026-58231
Was ist CVE-2026-58231?
CVE-2026-58231 ist eine kritische Sicherheitslücke im Data Hub Adapter von SAP Commerce Cloud. Die Schwachstelle beruht auf unzureichenden Autorisierungsprüfungen und fehlender Eingabevalidierung. Eine erfolgreiche Ausnutzung kann Arbitrary Code Execution ermöglichen.
Welche Versionen von SAP Commerce Cloud sind betroffen?
Betroffen sind laut vorliegendem Text die Versionen COM_CLOUD 2211 und 2211-JDK21, sofern der betroffene Data Hub Adapter eingesetzt wird. Betreiber sollten ihre konkrete Konfiguration und den in SAP Security Note 3771065 genannten Korrekturstand prüfen.
Kann CVE-2026-58231 ohne Anmeldung ausgenutzt werden?
Ja. Die Schwachstelle kann laut Beschreibung von CVE.org von einem nicht angemeldeten Angreifer ausgenutzt werden. Dafür wird ein standardmäßig verfügbarer Authentifizierungs-Client missbraucht, um speziell präparierte Eingaben an unzureichend geprüfte Funktionen zu übermitteln.
Reicht es, eine einzelne Datei auszutauschen?
Nein. Bei SAP Commerce Cloud genügt der Austausch einer einzelnen Datei oder Komponente nicht. Betreiber müssen auf einen korrigierten Release-Stand wechseln, die Commerce-Cloud-Version neu bauen und die aktualisierte Anwendung erneut deployen.
Wie lässt sich SAP Commerce Cloud bis zum Patch absichern?
Als vorübergehende Gegenmaßnahme kann ein IP Filter Set eingerichtet werden. Damit lässt sich der Zugriff auf den verwundbaren Endpoint auf festgelegte Quelladressen begrenzen. Diese Maßnahme reduziert das Risiko, ersetzt die Aktualisierung aber nicht.
Sind erfolgreiche Angriffe auf CVE-2026-58231 bestätigt?
Nach dem vorliegenden Text waren Exploit-Versuche beobachtet worden. Ein öffentlicher Proof of Concept und eine bestätigte erfolgreiche Kompromittierung waren zu diesem Zeitpunkt jedoch nicht bekannt. Exploit-Versuche sollten dennoch als Warnsignal behandelt und durch Log- und Incident-Response-Prüfungen untersucht werden.