Für SAP Commerce Cloud steht seit dem 11. August 2026 ein Patch gegen die Lücke CVE-2026-58231 bereit, bewertet mit dem Höchstwert 10.0. Drei Tage später protokollierten Honeypots die ersten Angriffe auf ungepatchte Shop-Systeme. Der Fall zeigt, wie schmal das Fenster zwischen Sicherheitshinweis und erstem Exploit geworden ist.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Der Sicherheitsdienst Defused registrierte über seine Honeypots am 14. August 2026 die ersten Exploit-Versuche gegen SAP Commerce Cloud. Die Angriffe liefen über verschlüsselte Verbindungen auf Port 443, gerade einmal 72 Stunden nach dem Sicherheitspatch. Ausnutzen lässt sich die Schwachstelle CVE-2026-58231 im Data Hub Adapter ohne jede Anmeldung.
Das Wichtigste in Kürze
- CVE-2026-58231 erreicht den CVSS-Höchstwert 10.0 und erlaubt nicht authentifizierten Angreifern die Codeausführung aus der Ferne.
- Betroffen ist SAP Commerce Cloud in den Versionen 2211 und 2211-JDK21 über den Data Hub Adapter.
- SAP schloss die Lücke am Patchday vom 11. August 2026 mit dem Sicherheitshinweis 3771065.
- Erste Angriffe liefen am 14. August 2026, drei Tage nach dem Patch und ohne öffentlichen Exploit-Code.
Wie schlüpfen Angreifer durch den Data Hub Adapter?
Der Data Hub Adapter bringt einen voreingestellten Authentifizierungs-Client mit, den Angreifer für Funktionen ohne die vorgesehene Rechteprüfung missbrauchen. Über speziell präparierte Eingaben schleusen die Angreifer eigenen Code ein, den der Server ausführt.[1] Das National Vulnerability Database ordnet den Fehler als Code Injection ein (CWE-94).
Weil die Anmeldung entfällt, genügt Netzwerkzugriff für die vollständige Übernahme. Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung stehen gleichermaßen offen, was den Höchstwert 10.0 erklärt. SAP schloss die Schwachstelle am Patchday vom 11. August 2026 mit dem Hinweis 3771065; betroffen sind die Ausgaben 2211 und 2211-JDK21.[2]
Warum wird jede kritische Lücke binnen Tagen zur Waffe?
Ein Patch beschreibt die Lücke so genau, dass Angreifer den Fehler nachbauen und binnen Tagen ausnutzen, auch ohne veröffentlichten Exploit-Code. Genau dieses Muster zeigte sich kurz zuvor bei der SharePoint-Lücke CVE-2026-55040, bei der nur ein Tag zwischen Beispielcode und erstem Angriff lag.
Kritische Unternehmenssoftware rückt dabei immer stärker ins Visier. Bei der FortiWeb-Lücke reichte ein beliebiges Passwort für den Admin-Zugang. Über die Windchill-Schwachstelle griff die Gruppe Cl0p Konstruktionsdaten bei knapp 50 Konzernen ab. Der SAP-Patchday vom August umfasste 28 Sicherheitshinweise, darunter eine weitere Code-Injection im Modul Manufacturing Integration and Intelligence.
Eine Höchstwertung von 10.0 lässt keinen Ermessensspielraum. Der Sicherheitshinweis 3771065 gehört bei SAP Commerce Cloud 2211 sofort eingespielt, denn die Angreifer nutzen das Zeitfenster längst.
— Michael Dobler, Herausgeber Dr. Web
Was bedeutet das für Shop-Betreiber im DACH-Raum?
Betreiber spielen den Sicherheitshinweis 3771065 sofort ein und prüfen anschließend, ob die laufende Umgebung wirklich auf der korrigierten Version steht. Ein reines Einspielen genügt bei Commerce Cloud nicht, weil die Anwendung neu ausgerollt werden muss, damit der Fix greift.[2]
Zusätzlich lohnt der Blick in die Protokolle auf auffällige Zugriffe über Port 443. Bei einem Datenabfluss greift für Shop-Betreiber die 72-Stunden-Meldepflicht aus Artikel 33 DSGVO. Artikel 32 verlangt ohnehin den Stand der Technik. Fällt der Betrieb als wichtige Einrichtung unter NIS2, kommt die 24-Stunden-Frühwarnung an das BSI hinzu.
Der Fall SAP Commerce Cloud macht das Muster greifbar: Ein Patch ist der Startschuss für den Wettlauf mit automatisierten Scannern, nicht der Schlusspunkt. Prüfen Sie Ihre Data-Hub-Systeme heute und behalten Sie die Angriffsprotokolle über die nächsten Wochen im Blick.
FAQ: SAP Commerce Cloud und die Lücke CVE-2026-58231
Bin ich von CVE-2026-58231 betroffen?
Betroffen sind Installationen von SAP Commerce Cloud in den Versionen 2211 und 2211-JDK21, die den Data Hub Adapter nutzen. Andere Commerce-Versionen oder Systeme ohne diesen Adapter sind nach aktuellem Stand nicht angreifbar. Ein Blick in die Versionsübersicht der eigenen Umgebung schafft Klarheit.
Reicht das Einspielen des Patches aus?
Der Sicherheitshinweis 3771065 schließt die Lücke, doch bei SAP Commerce Cloud muss die Anwendung nach dem Patch neu ausgerollt werden. Erst danach läuft die korrigierte Fassung wirklich. Prüfen Sie deshalb, ob die aktive Umgebung tatsächlich auf der gepatchten Version steht.
Gibt es bereits öffentlichen Exploit-Code?
Zum Zeitpunkt der ersten Angriffe am 14. August 2026 lag kein öffentlicher Proof of Concept vor. Die Angreifer bauten den Fehler eigenständig aus dem Patch nach. Das Fehlen von öffentlichem Exploit-Code bietet also keinen Schutz und verschafft nur wenige Tage Vorsprung.
Was müssen Betreiber im DACH-Raum melden?
Bei einem Datenabfluss gilt die 72-Stunden-Meldepflicht an die Datenschutzaufsicht nach Artikel 33 DSGVO. Wichtige und besondere Einrichtungen melden erhebliche Vorfälle zusätzlich binnen 24 Stunden als Frühwarnung an das BSI. Halten Sie Angriffsprotokolle und Zeitstempel für beide Meldewege bereit.
Quellen
[1] National Vulnerability Database: „CVE-2026-58231 Detail“
[2] SAP: „Security Note 3771065, SAP Security Patch Day August 2026“
Mehr Newshunger?
- SharePoint-Lücke CVE-2026-55040: Ein Tag zwischen Beispielcode und erstem Angriff
- FortiWeb-Lücke: Ein beliebiges Passwort genügt für den Admin-Zugang
- Windchill-Lücke: Cl0p behauptet den Diebstahl von Konstruktionsdaten bei knapp 50 Konzernen
- Ein Autofix von GitHub Copilot öffnete den Zugang zu Snowflakes internem Jira
- Offener Gastzugang: 17 Monate las ein Fremder in Salesforce- und ServiceNow-Portalen
