CVE-2026-58231: Kritische Schwachstelle in SAP Commerce Cloud (CVSS 10.0)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Am 11. August 2026 hat SAP gemäß SAP Security Note 3771065 eine kritische Schwachstelle in der SAP Commerce Cloud offengelegt, die mit der Kennung CVE-2026-58231 und dem höchstmöglichen CVSS-Score von 10.0 bewertet wurde. Die Lücke ermöglicht es unauthentifizierten Angreifern, über das Netzwerk beliebigen Code auszuführen (Remote Code Execution, RCE) und damit die vollständige Kontrolle über betroffene Systeme zu erlangen. Dies stellt ein erhebliches Risiko für die Vertraulichkeit, Integrität und Verfügbarkeit von E-Commerce-Plattformen dar.
Die Ursache von CVE-2026-58231 liegt in einer unzureichenden Validierung von Eingaben in bestimmten Funktionen der SAP Commerce Cloud. Ein Angreifer kann einen standardmäßig konfigurierten Authentifizierungs-Client missbrauchen, um speziell präparierte Daten an das System zu senden. Da hierfür keine Zugangsdaten erforderlich sind, kann der Angriff von jedem beliebigen Punkt im Internet aus erfolgen.
Eine erfolgreiche Ausnutzung führt zur Ausführung von Code im Kontext der Anwendung. Dies erlaubt es Angreifern, Daten zu exfiltrieren, zu manipulieren oder zu löschen, die Anwendung lahmzulegen oder das kompromittierte System als Ausgangspunkt für weitere Angriffe auf interne Unternehmensnetzwerke zu nutzen.
Risikobewertung nach CVSS 3.1
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H verdeutlicht die hohe Gefahr:
Attack Vector: Network (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar.
Attack Complexity: Low (AC:L): Der Angriff erfordert keine komplexen Vorbedingungen.
Privileges Required: None (PR:N): Ein Angreifer benötigt keine Benutzerkonten oder Privilegien.
User Interaction: None (UI:N): Es ist keine Interaktion eines legitimen Nutzers notwendig.
Scope: Changed (S:C): Eine Kompromittierung kann sich über die betroffene Komponente hinaus auf andere Systembereiche auswirken.
Confidentiality, Integrity, Availability: High (C:H, I:H, A:H): Der Angriff kann zu einem vollständigen Verlust der Vertraulichkeit, Integrität und Verfügbarkeit führen.
Für Unternehmen, die der NIS-2-Richtlinie unterliegen, kann ein erheblicher Sicherheitsvorfall im Zusammenhang mit dieser Schwachstelle eine Meldepflicht nach Art. 23 NIS-2-Richtlinie auslösen. Ergänzend gilt: Sind personenbezogene Daten von EU-Bürgerinnen und -Bürgern betroffen, greift die 72-Stunden-Meldepflicht nach Art. 33 DSGVO gegenüber der zuständigen Datenschutzbehörde.
Für KRITIS-Betreiber und Unternehmen im deutschen Einzel- und E-Commerce-Sektor, die unter das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) fallen, empfiehlt das BSI grundsätzlich, kritische Schwachstellen mit CVSS 10.0 unverzüglich zu prüfen und entsprechende Schutzmaßnahmen einzuleiten. Sind SAP Commerce Cloud-Instanzen Teil der produktiven Infrastruktur, sollte die Risikoeinschätzung umgehend dokumentiert werden.
Empfohlene Maßnahmen
Da zum Zeitpunkt der Veröffentlichung laut SAP Security Note 3771065 keine Sicherheitsupdates vorlagen, sind proaktive Maßnahmen zur Identifikation und Absicherung essenziell.
Sofortmaßnahmen:
Identifikation: Ermitteln Sie alle öffentlich und intern erreichbaren Instanzen der SAP Commerce Cloud in Ihrer IT-Infrastruktur.
Prüfung: Verifizieren Sie, ob die betroffenen Versionen (2211-jdk21, com_cloud_2211) im Einsatz sind.
Überwachung: Implementieren Sie eine verstärkte Überwachung der betroffenen Systeme, um verdächtige Aktivitäten zu erkennen.
Langfristige Maßnahmen:
Patch Management: Verfolgen Sie die Sicherheitshinweise von SAP unter SAP Security Note 3771065 und installieren Sie bereitgestellte Patches unverzüglich.
Schwachstellen-Monitoring: Etablieren Sie einen Prozess zur kontinuierlichen Überwachung Ihrer externen Angriffsfläche, um exponierte Systeme frühzeitig zu erkennen.
Vendor Risk Management: Bewerten Sie die Sicherheitslage Ihrer kritischen Dienstleister und Lieferanten systematisch.
Sichtbarkeit der Angriffsfläche mit LocateRisk
Schwachstellen wie CVE-2026-58231 unterstreichen die Notwendigkeit einer vollständigen und aktuellen Übersicht der externen Angriffsfläche. SAP-Commerce-Cloud-Instanzen werden häufig unter kundeneigenen Domains betrieben (z. B. shop.unternehmen.de) und können, wenn sie nicht zentral erfasst werden, zu unentdeckter Schatten-IT werden — also zu Systemen, die im offiziellen Asset-Inventar fehlen und damit außerhalb jedes Patch-Prozesses stehen.
LocateRisk unterstützt Unternehmen durch External Attack Surface Management (EASM) dabei, eine lückenlose Inventarisierung aller öffentlich erreichbaren IT-Systeme aufzubauen und aktuell zu halten. Die Plattform identifiziert exponierte Anwendungen — einschließlich vergessener Subdomains und nicht verwalteter Cloud-Assets — und ermöglicht es Sicherheitsteams, potenziell verwundbare Systeme zu erkennen, bevor oder unmittelbar nachdem eine kritische Schwachstelle bekannt wird. Durch kontinuierliches Monitoring kann die Zeit zwischen der versehentlichen Exposition eines Systems und dessen Erkennung deutlich verkürzt werden. Dies schafft die notwendige Transparenz, um Risiken gezielt zu priorisieren und zu mitigieren.
Bin ich betroffen?
Betroffen sind sap_se sap_commerce_cloud_data_hub_adapter in den oben genannten Versionen. Wer wissen will, ob sap_se sap_commerce_cloud_data_hub_adapter in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — maßgeblich bleibt der Abgleich mit dem Hersteller-Advisory.
CVE-2026-58231 ist eine Schwachstelle in SAP Commerce Cloud, die es einem unauthentifizierten Angreifer ermöglicht, über das Netzwerk beliebigen Code auszuführen (Remote Code Execution). Sie erhält den höchstmöglichen CVSS-Score von 10.0, weil keinerlei Authentifizierung oder Nutzerinteraktion erforderlich ist und eine erfolgreiche Ausnutzung vollständigen Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung hat.
Laut SAP Security Note 3771065 sind die Versionen 2211-jdk21 und com_cloud_2211 von CVE-2026-58231 betroffen. Zum Zeitpunkt der Veröffentlichung am 11. August 2026 waren keine gepatchten Versionen verfügbar.
Betroffene Unternehmen sollten zunächst alle Instanzen der SAP Commerce Cloud in den betroffenen Versionen inventarisieren und deren Netzwerk-Erreichbarkeit einschränken, wo möglich. Darüber hinaus empfiehlt sich eine verstärkte Überwachung auf verdächtige Aktivitäten sowie die regelmäßige Prüfung der SAP Security Note 3771065 auf neu veröffentlichte Patches oder Workarounds.
Stand: 11.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français