CVE-2026-58231 betrifft SAP Commerce Cloud und wird mit der maximalen CVSS-Bewertung 10,0 eingestuft. Der Fehler liegt laut CVE.org in unzureichenden Autorisierungsprüfungen und einer fehlenden Eingabevalidierung. Dadurch kann ein nicht authentifizierter Angreifer einen voreingestellten Authentifizierungs-Client missbrauchen und speziell gestaltete Eingaben an bestimmte Funktionen übermitteln.
Die mögliche Folge ist gravierend: Nach der Beschreibung von CVE.org kann eine erfolgreiche Ausnutzung zur Ausführung beliebigen Codes führen und interne Komponenten kompromittieren. Das hätte starke Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.
Defused Cyber meldete, dass entsprechende Angriffsversuche nur drei Tage nach Freigabe des Patches auf den Honeypot-Systemen des Unternehmens auftrafen. In einem am Freitag veröffentlichten Beitrag auf X erklärte das Threat-Intelligence-Unternehmen zugleich, dass es keinen öffentlichen Proof of Concept für die Lücke gebe und bislang keine bekannte erfolgreiche Ausnutzung vorliege.
Auch das auf SAP-Sicherheit spezialisierte Unternehmen Onapsis wies in diesem Monat auf das Risiko hin. Onapsis erklärte, dass eine erfolgreiche Ausnutzung von CVE-2026-58231 die Ausführung beliebigen Codes und die Kompromittierung interner Komponenten ermöglichen könne. Kunden müssten auf die in dem Hinweis genannten korrigierten Commerce-Cloud-Release-Stände aktualisieren und die aktualisierte SAP-Commerce-Cloud-Version neu bauen und erneut bereitstellen.
Als vorübergehende Maßnahme empfiehlt Onapsis, die Angriffsfläche über ein IP Filter Set in SAP Commerce Cloud zu verringern, um den Zugriff auf den verwundbaren Endpunkt einzuschränken. Details dazu, wer hinter den beobachteten Ausnutzungsversuchen steckt, liegen derzeit nicht vor.
Der Quelltext verweist allerdings auf frühere SAP-Schwachstellen, die bereits von sehr unterschiedlichen Akteuren aufgegriffen wurden. So wurden frühere Lücken wie CVE-2025-31324 in SAP-Produkten einschließlich NetWeaver laut dem Text von chinesisch ausgerichteten Spionageclustern wie UNC5221, UNC5174 und CL-STA-0048 sowie von Cybercrime-Gruppen wie BianLian und RansomExx als Waffe eingesetzt.
Zudem beobachteten Forscher im April 2025, dass unbekannte Akteure dieselbe kritische SAP-NetWeaver-Schwachstelle ausnutzten, um in einem Angriff auf ein Chemieunternehmen in den USA eine Hintertür namens Auto-Color zu installieren. Einen direkten Zusammenhang zu den aktuellen Versuchen gegen CVE-2026-58231 stellt der Quelltext jedoch nicht her.