Für Betreiber von SAP Commerce Cloud ist derzeit besondere Aufmerksamkeit gefragt: SAP hat Patches veröffentlicht, um eine Schwachstelle mit maximaler Schwere zu schließen. Laut den verfügbaren Angaben betrifft die Lücke den Data Hub Adapter und kann im Erfolgsfall dazu führen, dass Angreifer beliebigen Code ausführen – sogar ohne vorherige Authentifizierung.
Die Ursache wird mit unzureichenden Autorisierungsprüfungen sowie Problemen bei der Validierung von Eingaben beschrieben. Damit steigt das Risiko, dass unberechtigte Zugriffe sich direkt in einen schwerwiegenden Systemeingriff verwandeln können.
In diesem Artikel fassen wir zusammen, was die gemeldete Sicherheitslücke bedeutet, warum sie kritisch ist und welche Schritte SAP und Onapsis als Vorgehen nennen.
Was steckt hinter CVE-2026-58231?
Die relevante Schwachstelle ist mit CVE-2026-58231 benannt und erhält eine CVSS-Bewertung von 10.0 – damit handelt es sich um eine Lücke der höchsten Kategorie. In der Beschreibung wird eine Situation geschildert, in der ein Angreifer ohne Authentifizierung einen Standard-Authentifizierungsclient missbrauchen und anschließend manipulierte Eingaben an bestimmte Funktionen senden kann.
Der entscheidende Punkt: Diese betroffenen Funktionen sollen nicht ausreichend validieren. Dadurch kann die Verarbeitung der Eingaben in einen Zustand übergehen, der eine beliebige Codeausführung ermöglicht.
Im Erfolgsfall wäre das nicht nur ein Datenleck. Die Angaben nennen ausdrücklich, dass interne Komponenten kompromittiert werden könnten – mit potenziellen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung.
Warum Authentifizierung hier keine Bremse ist
Ein besonders alarmierendes Merkmal der gemeldeten Lücke ist, dass sie für unauthenticated attackers (also ohne Anmeldung) ausnutzbar sein kann. Das deutet darauf hin, dass die Anwendung bestimmte Prüfungen nicht konsequent genug durchführt.
Als beschriebenes Szenario wird genannt, dass Angreifer gezielt vorbereitete Daten an Funktionen übermitteln können, die auf Eingaben angewiesen sind. Wenn dabei Validierungsmechanismen fehlen oder zu schwach sind, steigt die Wahrscheinlichkeit, dass das System unerwartete Pfade ausführt.
Für Unternehmen bedeutet das: Selbst ein „normal“ gesperrter Zugriff auf Nutzerkonten reicht möglicherweise nicht aus, um die Gefahr vollständig zu verhindern.
SAP Commerce Cloud Patch: empfohlene Maßnahmen von Onapsis
Onapsis rät Kunden, die von SAP bereitgestellten Updates einzuspielen und anschließend die aktualisierte Version erneut bereitzustellen (re-deploy). Die Kernaussage ist: Patchen allein kann in manchen Bereitstellungsumgebungen nicht reichen, wenn die Änderung nicht konsistent in der laufenden Instanz landet.
Praktisch formuliert heißt das: Betreiber sollten nach Veröffentlichung des SAP Commerce Cloud Patch die Zielversion übernehmen, dann sicherstellen, dass die geänderten Komponenten auch tatsächlich in der produktiven Umgebung aktiv sind.
Schrittfolge für die Absicherung
- Fix-Version prüfen: Welche „fixed Commerce Cloud“-Release SAP freigegeben hat, sollte im Systemkontext verifiziert werden.
- Update einspielen: Danach muss die Anwendung mit der gepatchten Version konsistent laufen.
- Re-Deploy durchführen: Onapsis betont ausdrücklich das erneute Bereitstellen der aktualisierten SAP Commerce Cloud Version.
Temporärer Workaround: IP-Filter zur Reduzierung der Exposition
Bis ein vollständiger Fix umgesetzt werden kann, nennt Onapsis einen kurzfristigen technischen Ansatz: die Reduzierung der Angriffsfläche durch Konfiguration eines IP Filter Set. Ziel ist, den Zugriff auf den vulnerable endpoint zu begrenzen.
Damit wird nicht die Schwachstelle selbst „repariert“, aber das Risiko sinkt, wenn nur bekannte, vertrauenswürdige Quelladressen den betroffenen Endpunkt erreichen können.
Wichtig ist hierbei, dass die Wirksamkeit von der konkreten Netzarchitektur und den Zugriffspolicies abhängt. Unternehmen sollten daher im eigenen Betrieb prüfen, ob der Filter wirklich den betroffenen Pfad abdeckt.
Weitere kritische Lücken im August-Update
Die Meldung umfasst nicht nur die Data-Hub-Adapter-Lücke. SAP hat laut den Angaben im August 2026 mehrere weitere Schwachstellen mit kritischer Auswirkung adressiert. Alle folgenden Punkte werden als Teil desselben Update-Pakets genannt:
CVE-2026-44772 (CVSS 9.9)
Diese Schwachstelle wird als Code-Injection in Manufacturing Integration and Intelligence beschrieben. Ein Angreifer könnte dabei manipulierte Inhalte einbringen, die anschließend vom System in eine unerwünschte Ausführung übergehen.
CVE-2026-34265 (CVSS 9.8)
Hier geht es um eine Out-of-bounds write-Schwachstelle im Application Server ABAP für SAP NetWeaver und die ABAP Platform. Laut Beschreibung können unautorisierte Angreifer über logische Fehler in der DIAG-Protokoll-Verarbeitung eine Speicherkorruption verursachen.
Mögliche Folgen sind laut Onapsis entweder das Offenlegen sensibler Systeminformationen oder ein Absturz des Systems.
CVE-2026-44758 (CVSS 9.1)
Für CVE-2026-44758 wird eine Code-Injection in Manufacturing Integration and Intelligence genannt. Der Bericht beschreibt, dass ein Angreifer mit hohen Privilegien beliebige Befehle auf dem zugrunde liegenden Betriebssystem ausführen könnte.
Wie der Patch CVE-2026-44758 konkret schließt
Onapsis führt weiter aus, dass diese Lücke einen Servlet-Komponenten betrifft, die anfällig für Server-Side Template Injection (SSTI) und Server-Side Request Forgery (SSRF) sein soll. Diese Kombination kann den Weg zu einer Command Execution ebnen.
Als Gegenmaßnahme nennt die Meldung: Der von SAP veröffentlichte Patch entfernt die problematische Servlet-Komponente.
Besonderer Hinweis nach der Implementierung: „Secure Transformer“
Ein weiterer technischer Punkt betrifft die Umsetzung des Patches für CVE-2026-44772. Nach der Installation müssen Kunden laut Onapsis eine neue Systemeigenschaft namens „Secure Transformer“ pflegen.
Dazu gehört eine Liste erlaubter Hosts, von denen XSL-Dateien bereitgestellt werden. Nur XSL-Dateien aus diesen freigegebenen Quellen sollen vom betroffenen Servlet konsumiert werden können.
Mit anderen Worten: Neben dem Patch ist eine sauber konfigurierte Whitelist entscheidend, um den sicheren Betrieb zu gewährleisten.
Was Unternehmen jetzt konkret tun sollten
Wenn Sie SAP Commerce Cloud und die genannten angrenzenden Bereiche betreiben, lohnt sich jetzt ein strukturierter Sicherheits-Check. Beginnen Sie mit der Priorisierung nach Schweregrad und Nutzen für Angreifer.
Für die kritische Lücke CVE-2026-58231 gilt: Der Weg zum SAP Commerce Cloud Patch sollte zügig geplant werden. Gleichzeitig kann ein IP-Filter-Workaround die Zeit bis zur vollständigen Umstellung überbrücken.
Danach sollten Sie prüfen, ob auch die weiteren im Update genannten CVE-Punkte in Ihrer Landschaft relevant sind und ob die Nachkonfigurationen (z. B. „Secure Transformer“) korrekt umgesetzt wurden.
Fazit: Patchen, Workaround prüfen, Konfiguration absichern
Die gemeldete Sicherheitslage zeigt klar: Bei SAP Commerce Cloud Patch-Themen geht es aktuell nicht um kosmetische Risiken. Die Lücke CVE-2026-58231 erreicht CVSS 10.0 und kann nach den vorliegenden Informationen zu beliebiger Codeausführung führen – ohne Authentifizierung.
SAP hat dafür Updates bereitgestellt. Onapsis empfiehlt zudem, nach dem Patch ein re-deploy der aktualisierten Version vorzunehmen und bis dahin eine IP-Filter-Konfiguration als vorübergehende Risikoabsenkung einzusetzen. Ergänzend sollten Betreiber die weiteren kritischen CVEs aus dem August-Update sowie die geforderten Konfigurationsschritte sorgfältig mit einplanen.
Quelle: https://thehackernews.com/2026/08/sap-commerce-cloud-flaw-could-let.html
