Eine Schwachstelle mit Höchstwertung und ohne Rechteschranke

SAP-Sicherheitshinweis Nr. 3771065, veröffentlicht am 11. August 2026, beschreibt CVE-2026-58231: eine Schwachstelle durch fehlerhafte Autorisierung und unzureichende Eingabeprüfung in der Data-Hub-Adapter-Komponente von SAP Commerce Cloud, Versionen COM_CLOUD 2211 und 2211-JDK21. Der CVSS-Wert beträgt 10.0, der maximal mögliche, weil ein nicht authentifizierter Angreifer mit einfachem Netzwerkzugriff auf eine betroffene Instanz manipulierte Daten an den Data-Hub-Importendpunkt senden und damit beliebigen Code ausführen kann - ohne Anmeldung, ohne API-Schlüssel, ohne vorherigen Zugriff und ohne jede Handlung eines Opfers.

Der Hinweis erschien innerhalb eines größeren August-Security-Patch-Day-Zyklus mit 33 SAP-Sicherheitshinweisen, davon fünf als HotNews-kritisch eingestuft, mit weiteren schwerwiegenden Problemen am selben Tag in SAP Manufacturing Integration and Intelligence und SAP NetWeaver ABAP. SAPs eigene Empfehlung zu CVE-2026-58231 lautet, auf die reparierte Commerce-Cloud-Releasestufe zu patchen und neu zu erstellen und auszuliefern, wobei ein IP-Filterset am verwundbaren Endpunkt nur als Übergangslösung für Teams gedacht ist, die nicht sofort patchen können.

Drei Tage vom Patch zum echten Angriffsverkehr

Das Bedrohungsanalyse-Unternehmen Defused berichtete, dass seine Honeypots die ersten Ausnutzungsversuche gegen CVE-2026-58231 innerhalb von drei Tagen nach Erscheinen des SAP-Patches erfassten - und wies ausdrücklich darauf hin, dass dies geschah, obwohl nirgendwo ein öffentlicher Proof-of-Concept-Exploit verfügbar war. Genau das ist die eigentliche Geschichte: Die Angreifer kopierten kein durchgesickertes Exploit-Skript, sondern rekonstruierten den Unterschied zwischen gepatchtem und ungepatchtem Data-Hub-Adapter-Code schnell genug, um funktionierenden Angriffsverkehr zu erzeugen, bevor die meisten Unternehmens-Patchzyklen mit Test und gestaffeltem Rollout fertig sind.

Das verkürzt das operative Zeitfenster, das früher eine kritische Warnung von einer Warnung über aktive Ausnutzung trennte, auf eine einzige Arbeitswoche. Ein CVSS-Wert von 10.0 für eine Komponente wie den Data Hub Adapter - der strukturierte Handels- und Auftragsdaten zwischen Systemen leitet - bedeutet, dass ein erfolgreicher Treffer nicht auf eine einzelne Storefront-Funktion beschränkt bleibt; er öffnet den Weg zu Kundendaten, Auftragsdaten und allen Zugangsdaten oder nachgelagerten Diensten, denen die Commerce-Umgebung vertraut.

Was eine ungepatchte Instanz diese Woche bedeutet

SAP Commerce Cloud bildet die Grundlage für Storefronts und B2B-Bestellprozesse bei einer großen Zahl europäischer und britischer Händler, Großhändler und Hersteller, die online verkaufen, was eine nicht authentifizierte, maximal schwerwiegende Remotecodeausführung in einer ihrer zentralen Datenaustauschkomponenten zu einem akuten operativen Risiko macht und nicht zu einem Punkt für die nächste Patch-Besprechung. Ein Betreiber mit einer aus dem Internet erreichbaren, ungepatchten Instanz sollte heute davon ausgehen, dass aktive Scans und Ausnutzungsversuche gegen diese Angriffsfläche bereits stattfinden, nicht dass sie irgendwann stattfinden könnten.

Der nächste Schritt ist, zu bestätigen, dass der Fix vom 11. August tatsächlich installiert und neu ausgerollt wurde - nicht nur geplant -, den Zugriff auf den Data-Hub-Importendpunkt als Übergangsmaßnahme einzuschränken oder per Firewall zu blockieren, solange das Patchen noch läuft, und angesichts der Honeypot-Daten von Defused die Protokolle jeder Instanz auf Hinweise auf Ausnutzung zu prüfen, die zwischen dem 11. August und Abschluss des Patchvorgangs aus dem Internet erreichbar und ungepatcht war. Für ein Unternehmen, dessen Commerce-Cloud-Umgebung Kunden- und Zahlungsmetadaten berührt, ist diese Protokollprüfung auch eine datenschutzrechtliche Frage: Jeder bestätigte unbefugte Zugriff in diesem Zeitfenster ist genau die Art von Vorfall, die ein Datenschutzbeauftragter unabhängig von einer namentlichen Nennung durch SAP oder Defused an den Meldeschwellen für Datenschutzverletzungen prüfen muss.

Weiterlesen: Fraunhofer und SAP veröffentlichen einen Ausweg  |  Bonn entlastet SAP, Brüssel ändert Ihren Vertrag