Una falla a punteggio massimo senza barriera di privilegi
L'avviso di sicurezza SAP numero 3771065, pubblicato l'11 agosto 2026, rivela CVE-2026-58231: una falla di autorizzazione impropria e convalida dell'input insufficiente nel componente Data Hub Adapter di SAP Commerce Cloud, versioni COM_CLOUD 2211 e 2211-JDK21. Il suo punteggio CVSS è 10.0, il massimo possibile, perché un aggressore non autenticato con semplice accesso di rete a un'istanza interessata può inviare dati manipolati all'endpoint di importazione del Data Hub e ottenere l'esecuzione arbitraria di codice - senza login, senza chiave API, senza accesso preventivo e senza alcuna azione da parte della vittima.
L'avviso è arrivato all'interno di un ciclo più ampio di Patch Tuesday di agosto che copriva 33 avvisi di sicurezza SAP, cinque dei quali classificati come HotNews critici, con ulteriori problemi gravi rivelati lo stesso giorno in SAP Manufacturing Integration and Intelligence e SAP NetWeaver ABAP. La raccomandazione di SAP per CVE-2026-58231 è di aggiornare al livello di release corretto di Commerce Cloud e ricostruire e ridistribuire, offrendo un set di filtri IP sull'endpoint vulnerabile solo come misura provvisoria per i team che non possono aggiornare immediatamente.
Tre giorni dalla patch al traffico di attacco reale
L'azienda di threat intelligence Defused ha riferito che i suoi honeypot hanno registrato i primi tentativi di sfruttamento contro CVE-2026-58231 entro tre giorni dal rilascio della patch SAP - e ha segnalato esplicitamente che ciò è avvenuto pur non essendo disponibile da nessuna parte un proof-of-concept pubblico. Questo dettaglio è la vera notizia: gli aggressori non hanno copiato uno script di exploit trapelato, ma hanno ricostruito per ingegneria inversa la differenza tra il codice corretto e non corretto del Data Hub Adapter abbastanza rapidamente da generare traffico di attacco funzionante prima che la maggior parte dei cicli di patching aziendali completasse i test e il rilascio graduale.
Questo comprime a una sola settimana lavorativa la finestra operativa che un tempo separava un avviso di gravità critica da un avviso di sfruttamento attivo. Un punteggio CVSS di 10.0 su un componente come il Data Hub Adapter - che instrada dati strutturati di commercio e ordini tra sistemi - significa che un attacco riuscito non resta confinato a una singola funzione del negozio online; apre la strada ai dati dei clienti, ai dati degli ordini e a qualsiasi credenziale o servizio a valle di cui l'ambiente Commerce si fida.
Cosa significa un'istanza non aggiornata questa settimana
SAP Commerce Cloud sostiene i negozi online e i flussi di ordini B2B di un'ampia base di rivenditori, grossisti e produttori europei e britannici che vendono online, il che rende un'esecuzione di codice remoto non autenticata e di gravità massima in uno dei suoi componenti centrali di scambio dati un rischio operativo attivo, e non una voce in più per la prossima revisione delle patch. Un operatore con un'istanza esposta a internet e non aggiornata dovrebbe presumere oggi che scansioni e tentativi di sfruttamento attivi contro quell'esposizione stiano già avvenendo, non che potrebbero avvenire prima o poi.
Il passo immediato è confermare che la correzione dell'11 agosto sia effettivamente installata e ridistribuita - non solo programmata -, limitare o bloccare con firewall l'accesso all'endpoint di importazione del Data Hub come misura provvisoria mentre il patching è ancora in corso, e, dato che i dati honeypot di Defused mostrano traffico di attacco reale, controllare i log alla ricerca di indicatori di sfruttamento su qualsiasi istanza raggiungibile da internet e non aggiornata tra l'11 agosto e il completamento della patch. Per un'azienda il cui ambiente Commerce Cloud tratta dati di ordini e pagamenti dei clienti, questa revisione dei log è anche una questione di protezione dei dati: qualsiasi accesso non autorizzato confermato in quella finestra è esattamente il tipo di esposizione che un responsabile della protezione dei dati deve valutare rispetto alle soglie di notifica delle violazioni, indipendentemente dal fatto che SAP o Defused arrivino a nominare una vittima specifica.
Da leggere ora: Fraunhofer e SAP pubblicano un'uscita dal vincolo | Bonn assolve SAP, Bruxelles cambia il contratto
