Uma falha com pontuação máxima e sem barreira de privilegios
O aviso de segurança da SAP número 3771065, publicado a 11 de agosto de 2026, revela a CVE-2026-58231: uma falha de autorização incorreta e validação de entrada insuficiente no componente Data Hub Adapter do SAP Commerce Cloud, versões COM_CLOUD 2211 e 2211-JDK21. A sua pontuação CVSS e de 10.0, a máxima possível, porque um atacante não autenticado com simples acesso de rede a uma instancia afetada pode enviar dados manipulados para o endpoint de importação do Data Hub e obter execução arbitraria de código - sem sessao iniciada, sem chave de API, sem acesso previo e sem qualquer ação da vitima.
O aviso surgiu dentro de um ciclo mais alargado de Patch Tuesday de agosto que abrangeu 33 avisos de segurança da SAP, cinco dos quais classificados como HotNews críticos, com problemas adicionais graves revelados no mesmo dia no SAP Manufacturing Integration and Intelligence e no SAP NetWeaver ABAP. A recomendacao da própria SAP para a CVE-2026-58231 e atualizar para o nivel de versão corrigido do Commerce Cloud e reconstruir e reimplementar, sendo um conjunto de filtros de IP no endpoint vulnerável oferecido apenas como medida provisória para equipas que não possam corrigir de imediato.
Tres dias entre a correção e trafego de ataque real
A empresa de inteligencia de ameaças Defused informou que os seus honeypots registaram as primeiras tentativas de exploração contra a CVE-2026-58231 no espaco de tres dias após o lançamento da correção da SAP - e assinalou explicitamente que isto aconteceu apesar de não existir em lado nenhum uma prova de conceito pública. Esse pormenor e a verdadeira noticia: os atacantes não copiaram um script de exploit divulgado, reconstruiram por engenharia inversa a diferença entre o código corrigido e o código por corrigir do Data Hub Adapter com rapidez suficiente para gerar trafego de ataque funcional antes de a maioria dos ciclos de correção empresariais terminarem os testes e a implementação faseada.
Isto comprime numa unica semana de trabalho a janela operacional que antes separava um aviso de gravidade crítica de um aviso de exploração ativa. Uma pontuação CVSS de 10.0 num componente como o Data Hub Adapter - que encaminha dados estruturados de comercio e encomendas entre sistemas - significa que um ataque bem sucedido não fica confinado a uma unica funcao da loja online; abre o caminho aos registos de clientes, aos dados de encomendas e a quaisquer credenciais ou servicos a jusante em que o ambiente Commerce confie.
O que significa uma instancia por corrigir esta semana
O SAP Commerce Cloud sustenta lojas online e fluxos de encomendas B2B de uma vasta base de retalhistas, grossistas e fabricantes europeus e britânicos que vendem online, o que transforma uma execução remota de código não autenticada e de gravidade máxima num dos seus componentes centrais de troca de dados num risco operacional ativo, e não apenas uma linha para a proxima revisão de correções. Um operador com uma instancia exposta a internet e por corrigir deve assumir hoje que ja estão a ocorrer varrimentos e tentativas de exploração ativos contra essa exposicao, e não que poderiam ocorrer em algum momento.
O passo imediato e confirmar que a correção de 11 de agosto esta de facto instalada e reimplementada - não apenas planeada -, restringir ou bloquear com firewall o acesso ao endpoint de importação do Data Hub como medida provisória enquanto a correção ainda esta em curso, e, dado que os dados de honeypot da Defused mostram trafego de ataque real, rever os registos em busca de indicadores de exploração em qualquer instancia que tenha estado acessível a partir da internet e por corrigir entre 11 de agosto e a conclusao da correção. Para uma empresa cujo ambiente Commerce Cloud lide com dados de encomendas e pagamentos de clientes, essa revisão de registos e também uma questão de proteção de dados: qualquer acesso não autorizado confirmado nessa janela e exatamente o tipo de exposicao que um encarregado de proteção de dados tem de avaliar face aos limiares de notificação de violacoes, independentemente de a SAP ou a Defused chegarem a nomear uma vitima concreta.
Leia a seguir: Fraunhofer e SAP publicam uma saída do bloqueio | Bona iliba a SAP, Bruxelas muda o seu contrato
