Een fout met de hoogste score en zonder rechtendrempel

SAP-beveiligingsmelding nr. 3771065, gepubliceerd op 11 augustus 2026, onthult CVE-2026-58231: een fout door onjuiste autorisatie en onvoldoende invoervalidatie in het Data Hub Adapter-onderdeel van SAP Commerce Cloud, in de versies COM_CLOUD 2211 en 2211-JDK21. De CVSS-score bedraagt 10.0, het hoogst haalbare, omdat een ongeauthenticeerde aanvaller met gewone netwerktoegang tot een getroffen omgeving vervalste gegevens naar het importeindpunt van de Data Hub kan sturen en zo willekeurige code kan uitvoeren - zonder inloggen, zonder API-sleutel, zonder eerdere toegang en zonder enige actie van een slachtoffer.

De melding verscheen binnen een bredere Patch Tuesday-cyclus van augustus met 33 SAP-beveiligingsmeldingen, waarvan er vijf als HotNews-kritiek zijn ingedeeld, met aanvullende ernstige problemen die dezelfde dag bekend werden in SAP Manufacturing Integration and Intelligence en SAP NetWeaver ABAP. SAP adviseert voor CVE-2026-58231 zelf om te patchen naar het gerepareerde Commerce Cloud-releaseniveau en opnieuw te bouwen en uit te rollen, waarbij een IP-filterset op het kwetsbare eindpunt alleen als tussentijdse noodgreep wordt aangeboden voor teams die niet meteen kunnen patchen.

Drie dagen van patch tot echt aanvalsverkeer

Threat-intelligencebedrijf Defused meldde dat de eigen honeypots de eerste uitbuitingspogingen tegen CVE-2026-58231 al binnen drie dagen na het uitkomen van de SAP-patch registreerden - en benadrukte expliciet dat dit gebeurde terwijl er nergens een publieke proof-of-concept beschikbaar was. Dat detail is het echte nieuws: de aanvallers kopieerden geen gelekt exploit-script, maar reconstrueerden het verschil tussen de gepatchte en ongepatchte Data Hub Adapter-code snel genoeg om werkend aanvalsverkeer te bouwen voordat de meeste bedrijfsmatige patchcycli klaar waren met testen en gefaseerd uitrollen.

Daarmee krimpt het operationele venster dat vroeger een kritieke melding scheidde van een melding over actieve uitbuiting, tot een enkele werkweek. Een CVSS-score van 10.0 op een onderdeel als de Data Hub Adapter - dat gestructureerde handels- en ordergegevens tussen systemen doorstuurt - betekent dat een geslaagde aanval niet beperkt blijft tot een functie van de webwinkel; hij opent de weg naar klantgegevens, ordergegevens en elke inloggegevens of downstream-dienst die de Commerce-omgeving vertrouwt.

Wat een ongepatchte omgeving deze week betekent

SAP Commerce Cloud vormt de ruggengraat van webwinkels en B2B-orderstromen bij een groot aantal Europese en Britse retailers, groothandels en fabrikanten die online verkopen, waardoor een ongeauthenticeerde RCE met de hoogste ernst in een van de centrale gegevensuitwisselingsonderdelen een actueel operationeel risico is, en geen agendapunt voor de volgende patchbespreking. Een beheerder met een vanaf internet bereikbare, ongepatchte omgeving moet er vandaag van uitgaan dat actieve scans en uitbuitingspogingen tegen die blootstelling al bezig zijn, niet dat ze ooit zouden kunnen plaatsvinden.

De directe vervolgstap is bevestigen dat de fix van 11 augustus daadwerkelijk is geïnstalleerd en opnieuw uitgerold - niet alleen gepland -, de toegang tot het importeindpunt van de Data Hub als tussentijdse maatregel beperken of via een firewall blokkeren zolang het patchen nog loopt, en, aangezien de honeypotgegevens van Defused echt aanvalsverkeer laten zien, de logs controleren op aanwijzingen voor uitbuiting bij elke omgeving die tussen 11 augustus en de voltooiing van de patch vanaf internet bereikbaar en ongepatcht was. Voor een bedrijf waarvan de Commerce Cloud-omgeving klant- en betalingsgegevens raakt, is die logcontrole ook een gegevensbeschermingskwestie: elke bevestigde ongeautoriseerde toegang binnen dat venster is precies het soort blootstelling dat een functionaris voor gegevensbescherming moet toetsen aan de meldplicht voor datalekken, ongeacht of SAP of Defused ooit een specifiek slachtoffer noemt.

Lees hierna: CISA geeft TrueConf drie dagen voor de patch  |  Zes dagen, drie kritieke lekken, geen adempauze