Eine Schwachstelle in der SAP Commerce Cloud, die es nicht authentifizierten Angreifern ermöglichen kann, beliebigen Code auszuführen, wird ausgenutzt – nur wenige Tage, nachdem SAP ein Sicherheitsupdate veröffentlicht hat.
Das Threat-Intelligence-Unternehmen Defused entdeckte drei Tage nach Veröffentlichung des Patches Angriffsversuche, die auf die Schwachstelle abzielten.
„Erste Ausnutzungsversuche gegen CVE-2026-58231 (nicht authentifizierte RCE in der SAP Commerce Cloud, CVSS 10,0) treffen jetzt unsere Honeypots“, teilte Defused mit – in einem Beitrag auf X.
Die wichtigsten Erkenntnisse zur Ausnutzung der SAP-RCE-Schwachstelle
- CVE-2026-58231 ist eine Schwachstelle in der SAP Commerce Cloud mit einem CVSS-Wert von 10,0.
- Die Schwachstelle ermöglicht die nicht authentifizierte Remote-Code-Ausführung und erlaubt Angreifern, ohne bestehende Berechtigungen beliebigen Code auszuführen.
- Defused entdeckte kurz nach der Veröffentlichung eines Patches durch SAP Ausnutzungsversuche, obwohl kein öffentlich bekannter Proof-of-Concept-Exploit existiert.
- SAP untersucht die gemeldeten Ausnutzungsaktivitäten und empfiehlt betroffenen Unternehmen, die neuesten Sicherheitsupdates einzuspielen.
SAP-Commerce-Cloud-RCE-Schwachstelle bei Angriffen ins Visier genommen
Die SAP Commerce Cloud ist eine E-Commerce-Plattform, die von großen Marken und Einzelhändlern zur Verwaltung ihrer Online-Handelsaktivitäten eingesetzt wird.
CVE-2026-58231 erklärt
Die als CVE-2026-58231 geführte Schwachstelle hat einen CVSS-Wert von 10,0 und beruht auf einer unzureichenden Autorisierung im zentralen Data-Hub-Adapter-Add-on der Plattform.
Laut SAP kann ein nicht authentifizierter Angreifer einen standardmäßig vorhandenen Authentifizierungsclient missbrauchen und speziell präparierte Eingaben an Funktionen übermitteln, denen eine ausreichende Validierung fehlt.
CVE-2026-58231 ermöglicht nicht authentifizierte RCE
Eine erfolgreiche Ausnutzung kann zur Remote-Code-Ausführung (RCE) führen und Angreifern erlauben, beliebigen Code auf betroffenen Systemen auszuführen.
Die Schwachstelle erfordert weder eine Authentifizierung noch bestehende Berechtigungen und gilt als wenig komplex, wodurch sich anfällige Systeme leichter aus der Ferne angreifen lassen.
Ausnutzungsversuche folgen auf den SAP-Patch
SAP veröffentlichte im Rahmen des Patch Day im August 2026 ein Sicherheitsupdate für CVE-2026-58231.
Kurz darauf entdeckte Defused Ausnutzungsversuche gegen seine Honeypots, obwohl kein öffentlich bekannter Proof-of-Concept-Exploit existiert.
SAP untersucht die gemeldeten Ausnutzungsaktivitäten und fordert betroffene Unternehmen auf, die neuesten Sicherheitsupdates einzuspielen.
So lässt sich das Risiko durch CVE-2026-58231 reduzieren
Das Einspielen des verfügbaren Updates ist der erste Schritt. Teams sollten jedoch auch prüfen, ob es vor dem Patchen zu einer Ausnutzung gekommen ist, und die Kontrollen zur Einschränkung des Zugriffs, der lateralen Bewegung und des Datenabflusses verstärken.
- Wenden Sie SAPs neuestes Update an und überprüfen Sie, ob die betroffenen Commerce-Cloud-Systeme vollständig gepatcht sind.
- Schränken Sie unnötige Internet-Exponierung ein und setzen Sie WAF-Schutzmechanismen ein, um verdächtige Anfragen zu erkennen und zu blockieren.
- Segmentieren Sie Commerce-Cloud-Umgebungen und setzen Sie Egress-Filterung ein, um laterale Bewegung, Command-and-Control-Datenverkehr und den Abfluss von Daten zu begrenzen.
- Überwachen Sie Anwendungs-, Authentifizierungs-Endgeräte- und Netzwerkaktivitäten auf Anzeichen einer Ausnutzung oder ungewöhnliche ausgehende Verbindungen.
- Suchen Sie mit EDR und Dateiintegritätsüberwachung nach Aktivitäten nach der Ausnutzung, um bösartige Prozesse, Persistenzmechanismen oder nicht autorisierte Änderungen zu erkennen.
- Erneuern Sie potenziell offengelegte Zugangsdaten, API-Schlüssel, Token und Geheimnisse von Dienstkonten und überprüfen Sie verbundene Anwendungen auf unbefugten Zugriff.
- Testen Sie Pläne zur Reaktion auf Vorfälle und setzen Sie Tools zur Angriffssimulation mit Szenarien rund um RCE und Datenabfluss ein.
Zusammen können diese Maßnahmen den Schadensradius einer erfolgreichen Ausnutzung verringern und zugleich die Widerstandsfähigkeit stärken.
Fazit
Die rasche Ausnutzung von CVE-2026-58231, nachdem SAP einen Patch veröffentlicht hatte, verdeutlicht, wie wenig Zeit Sicherheitsteams möglicherweise haben, um kritische Schwachstellen zu beheben, bevor Angreifer beginnen, sie ins Visier zu nehmen.
Dieser Vorfall kann CISOs außerdem dabei helfen, Diskussionen auf Vorstandsebene über die Gefährdung durch kritische Schwachstellen, geschäftliche Auswirkungen und die Frage zu führen, ob Sicherheitsinvestitionen Risiken schnell genug reduzieren können.
Zero-Trust-Lösungen können dazu beitragen, die Angriffsfläche zu verringern, indem sie den Zugriff auf kritische Systeme beschränken und den Schadensradius bei erfolgreicher Ausnutzung von Schwachstellen begrenzen.