SAP bewertete eine frische Sicherheitslücke in SAP Commerce Cloud mit dem Höchstwert 10.0 von 10. Über den Data Hub Adapter, die Integrationsschicht zwischen Shop und Backend, gelangen Angreifer ohne gültigen Login bis zur vollständigen Kontrolle über die Handelsplattform.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- Die Lücke CVE-2026-58231 in SAP Commerce Cloud erreicht CVSS 10.0 und erlaubt eine Übernahme ohne Authentifizierung.
- Der August-Patchday umfasst 28 neue und zwei aktualisierte Sicherheitshinweise, vier davon kritisch.
- Ein IP-Filter grenzt den verwundbaren Endpunkt vorübergehend ein, den Patch samt Rebuild ersetzt er nicht.
Wie übernimmt ein Angreifer die ganze Commerce-Plattform?
Der Data Hub Adapter prüft Zugriffe unzureichend, sodass ein nicht angemeldeter Angreifer eigene Befehle einschleust und interne Komponenten fernsteuert. Diese Schnittstelle verbindet die Handelsplattform mit Backend-Systemen wie ERP und Produktkatalog. Genau dort versagte die Rechteprüfung: Ein Aufruf von außen erreichte den Endpunkt ohne gültige Anmeldung. Zusammen mit einer lückenhaften Eingabeprüfung ermöglichte diese Kombination die Ausführung beliebigen Codes. Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung fielen vollständig, was die glatte 10.0 erklärt.[1]
Warum trifft SAP fast jeden Monat eine Spitzenwertung?
Kritische SAP-Lücken häufen sich, weil die Kernprodukte tief vernetzt und aus dem Netz erreichbar sind. Schon der Juli-Patchday schloss eine 9.9er-Lücke im ABAP-Kern. Im August kam mit CVE-2026-44772 eine zweite Top-Lücke hinzu, eine Code-Injection in SAP MII, mit der Angreifer beliebige Befehle auf dem Host ausführen. Der Präzedenzfall mahnt zur Eile: Die Visual-Composer-Lücke von 2025 trug ebenfalls eine 10.0 und wurde binnen Tagen massenhaft ausgenutzt, bevor viele Betreiber gepatcht hatten. Ungepatchte Altlücken bleiben ein verlässliches Einfallstor, wie zuletzt zwei Jahre alte Fortinet-Lücken in einem Ransomware-Fall zeigten.
Eine 10.0-Bewertung bedeutet, dass ein Angreifer keinen gültigen Login mehr braucht. Bei SAP Commerce Cloud steht der Shop damit offen, bevor das Sicherheitsteam die Mail zum Patchday überhaupt gelesen hat.
— Markus Seyfferth, Chefredakteur Dr. Web
Was müssen Betreiber jetzt tun?
Betreiber spielen den SAP-Hinweis ein und bauen die Commerce-Instanz anschließend neu, denn erst Rebuild und erneutes Deployment schließen die Lücke. Bis dahin grenzt ein IP-Filter den verwundbaren Endpunkt ein. Ein sauberer Patch ist selten das Ende der Geschichte: Bei ServiceNow umgingen Angreifer vier Tage nach dem Fix die Sperre über einen zweiten Weg. Vernachlässigtes Patch-Management häuft Rückstände an, sichtbar am Stau bei Microsofts Sicherheitsupdates. Unter NIS2 gehört diese Sorgfaltspflicht in die Leitungsebene: Das reformierte BSI-Gesetz macht Risikomanagement und Meldepflichten zur Leitungsaufgabe, Cybersicherheit wird zur Chefsache.
Für DACH-Händler mit SAP-Shop heißt das konkret: den Data Hub Adapter auf Erreichbarkeit aus dem Netz prüfen, den Sicherheitshinweis priorisiert einspielen und den Zugriff bis zum Rebuild filtern.
FAQ: SAP Commerce Cloud und der Patchday im August 2026
Welche SAP-Produkte betrifft die Lücke CVE-2026-58231?
Betroffen ist SAP Commerce Cloud, konkret der Data Hub Adapter als Integrationsschicht zur Backend-Anbindung. Die Lücke steht getrennt von den weiteren kritischen Hinweisen des August-Patchdays, etwa der Code-Injection in SAP MII (CVE-2026-44772).
Reicht ein IP-Filter als Schutz gegen CVE-2026-58231?
Nein. Der IP-Filter grenzt den verwundbaren Endpunkt nur vorübergehend ein und senkt das Risiko. Dauerhaft schützt allein der SAP-Sicherheitshinweis samt Rebuild und erneutem Deployment der Commerce-Instanz.
Was bedeutet eine CVSS-Bewertung von 10.0?
Eine 10.0 ist der Höchstwert der CVSS-Skala und steht für maximale Kritikalität. Der Angriff gelingt aus dem Netz ohne Anmeldung und ohne Nutzerinteraktion und trifft Vertraulichkeit, Integrität und Verfügbarkeit zugleich.
Welche Pflichten ergeben sich aus NIS2 für SAP-Betreiber?
Unter dem reformierten BSI-Gesetz gehören Risikomanagement und Meldepflichten zur Leitungsaufgabe. Kritische Lücken wie diese müssen Betroffene zeitnah bewerten und schließen sowie im Meldefall an das BSI melden. Die Verantwortung liegt bei der Geschäftsleitung.
Quelle
[1] SAP: „SAP Security Patch Day, August 2026“
Mehr Newshunger?
- Gunra-Ransomware: Zwei alte Fortinet-Lücken öffnen die Firewall
- Rapid7 streicht 12 Prozent der Stellen, während Tenable und Qualys wachsen
- GitHub Copilot überträgt Zugangsdaten aus .env-Dateien in die Cloud
- Gestohlene Reasoning-Traces: Zwei API-Aufrufe rekonstruieren das Denken von Claude, GPT und Gemini
- Rückstau bei 300 Sicherheitslücken: Microsoft kommt nicht mehr nach mit den Patches
- Vier Tage nach dem Patch: Angreifer umgehen ServiceNows Sandbox über einen zweiten Weg
