CVE-2026-58231 ist mit einem CVSS-Wert von 10,0 eingestuft und ermöglicht Remotecodeausführung. Nach Angaben von SAP liegt die Ursache in einer unzureichenden Autorisierung innerhalb der Kernkomponente Data Hub Adapter von SAP Commerce Cloud. Die Angriffe seien mit geringer Komplexität möglich und könnten von nicht privilegierten Angreifern durchgeführt werden.
SAP beschreibt den Angriffsweg so: Ein nicht authentifizierter Angreifer könne einen standardmäßigen Authentifizierungs-Client missbrauchen und speziell gestaltete Eingaben an bestimmte Funktionen übermitteln, denen ausreichende Prüfungen fehlen. Eine erfolgreiche Ausnutzung könne zur Ausführung beliebigen Codes führen und interne Komponenten kompromittieren, mit erheblichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.
Defused erklärte, erste Ausnutzungsversuche gegen CVE-2026-58231 träfen inzwischen auf die eigenen Honeypots — nur drei Tage nach dem Patchday. Nach Darstellung der Forscher gibt es bislang keinen öffentlich verfügbaren Proof of Concept, zudem sei die Schwachstelle zuvor nicht als ausgenutzt bekannt gewesen. Damit kommt die beobachtete Aktivität ungewöhnlich früh nach der Veröffentlichung der Korrektur.
Ein SAP-Sprecher teilte BleepingComputer mit, das Unternehmen kenne den Bericht von Defused und untersuche den Vorgang. Zugleich verwies SAP auf den veröffentlichten Sicherheitshinweis 3771065, der Kunden und Partnern zur Verfügung steht und am August-Patchday erschienen sei. Systeme sollten mit sofortiger Wirkung gepatcht werden, erklärte der Sprecher.
Wie groß die potenziell erreichbare Angriffsfläche ist, lässt sich nur grob abschätzen. Die Internet-Sicherheitsorganisation Shadowserver verfolgt mehr als 4.200 IP-Adressen mit einem Fingerabdruck von SAP Commerce Cloud, die meisten davon in Europa und Nordamerika. Unklar ist allerdings, wie viele dieser Systeme Honeypots sind oder bereits gegen Angriffe auf CVE-2026-58231 abgesichert wurden.
SAP hatte zuletzt im Juli 2026 insgesamt 16 Schwachstellen im Security-Patch-Paket behoben. In den Monaten Juni und Mai kamen laut dem Bericht weitere 30 Lücken hinzu, darunter drei weitere kritische Schwachstellen in der E-Commerce-Plattform Commerce Cloud: CVE-2026-44761, CVE-2026-22732 und CVE-2026-34263.
Auch abseits klassischer Produktlücken stand SAP zuletzt im Fokus. Im April berichteten die Sicherheitsfirmen Aikido und Socket, dass Angreifer mehrere offizielle SAP-npm-Pakete im Rahmen eines Supply-Chain-Angriffs kompromittiert hätten. Ziel sei dabei der Diebstahl von Zugangsdaten aus den Systemen von Entwicklern gewesen.
Seit November 2021 hat die US-Behörde CISA nach Angaben des Berichts 14 SAP-Schwachstellen in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen. Drei davon wurden demnach in Ransomware-Angriffen missbraucht.