CVE-2026-58231: Kritische Schwachstelle in SAP Commerce Cloud (CVSS 10.0)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Update 11.08.2026: SAP hat für CVE-2026-58231 Sicherheitsupdates bereitgestellt. Betroffene Versionen COM_CLOUD 2211 und COM_CLOUD 2211-JDK21 können gemäß den in SAP Note 3771065 dokumentierten Fixed Release Levels gepatcht werden. Details siehe unten.
Am 11. August 2026 hat SAP gemäß SAP Security Note 3771065 eine kritische Schwachstelle in der SAP Commerce Cloud offengelegt, die mit der Kennung CVE-2026-58231 und dem höchstmöglichen CVSS-Score von 10.0 bewertet wurde. Die Lücke ermöglicht es unauthentifizierten Angreifern, über das Netzwerk beliebigen Code auszuführen (Remote Code Execution, RCE) und damit die vollständige Kontrolle über betroffene Systeme zu erlangen. Dies stellt ein erhebliches Risiko für die Vertraulichkeit, Integrität und Verfügbarkeit von E-Commerce-Plattformen dar.
Patch: verfügbar für COM_CLOUD 2211 und COM_CLOUD 2211-JDK21
Technischer Hintergrund der Schwachstelle
Die Ursache von CVE-2026-58231 liegt in einer unzureichenden Validierung von Eingaben in bestimmten Funktionen der SAP Commerce Cloud. Ein Angreifer kann einen standardmäßig konfigurierten Authentifizierungs-Client missbrauchen, um speziell präparierte Daten an das System zu senden. Da hierfür keine Zugangsdaten erforderlich sind, kann der Angriff von jedem beliebigen Punkt im Internet aus erfolgen.
Eine erfolgreiche Ausnutzung führt zur Ausführung von Code im Kontext der Anwendung. Dies erlaubt es Angreifern, Daten zu exfiltrieren, zu manipulieren oder zu löschen, die Anwendung lahmzulegen oder das kompromittierte System als Ausgangspunkt für weitere Angriffe auf interne Unternehmensnetzwerke zu nutzen.
Risikobewertung nach CVSS 3.1
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H verdeutlicht die hohe Gefahr:
Attack Vector: Network (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar.
Attack Complexity: Low (AC:L): Der Angriff erfordert keine komplexen Vorbedingungen.
Privileges Required: None (PR:N): Ein Angreifer benötigt keine Benutzerkonten oder Privilegien.
User Interaction: None (UI:N): Es ist keine Interaktion eines legitimen Nutzers notwendig.
Scope: Changed (S:C): Eine Kompromittierung kann sich über die betroffene Komponente hinaus auf andere Systembereiche auswirken.
Confidentiality, Integrity, Availability: High (C:H, I:H, A:H): Der Angriff kann zu einem vollständigen Verlust der Vertraulichkeit, Integrität und Verfügbarkeit führen.
Für Unternehmen, die der NIS-2-Richtlinie unterliegen, kann ein erheblicher Sicherheitsvorfall im Zusammenhang mit dieser Schwachstelle eine Meldepflicht nach Art. 23 NIS-2-Richtlinie auslösen. Ergänzend gilt: Sind personenbezogene Daten von EU-Bürgerinnen und -Bürgern betroffen, greift die 72-Stunden-Meldepflicht nach Art. 33 DSGVO gegenüber der zuständigen Datenschutzbehörde.
Für KRITIS-Betreiber und Unternehmen im deutschen Einzel- und E-Commerce-Sektor, die unter das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) fallen, empfiehlt das BSI grundsätzlich, kritische Schwachstellen mit CVSS 10.0 unverzüglich zu prüfen und entsprechende Schutzmaßnahmen einzuleiten. Sind SAP Commerce Cloud-Instanzen Teil der produktiven Infrastruktur, sollte die Risikoeinschätzung umgehend dokumentiert werden.
Verfügbare Sicherheitsupdates
SAP hat für CVE-2026-58231 Sicherheitsupdates bereitgestellt. Gemäß SAP Security Note 3771065 sind für die betroffenen Versionen COM_CLOUD 2211 und COM_CLOUD 2211-JDK21 Fixed Release Levels verfügbar, die die Schwachstelle beheben.
Unternehmen, die eine der betroffenen Versionen einsetzen, sollten die in der SAP Note dokumentierten Patch-Versionen unverzüglich einspielen. Die genauen Release-Level-Informationen und Installationsanweisungen sind im offiziellen SAP Security Note hinterlegt.
Empfohlene Maßnahmen
Sofortmaßnahmen:
Identifikation: Ermitteln Sie alle öffentlich und intern erreichbaren Instanzen der SAP Commerce Cloud in Ihrer IT-Infrastruktur.
Prüfung: Verifizieren Sie, ob die betroffenen Versionen (COM_CLOUD 2211, COM_CLOUD 2211-JDK21) im Einsatz sind.
Patch-Installation: Installieren Sie die in SAP Security Note 3771065 dokumentierten Fixed Release Levels unverzüglich.
Überwachung: Implementieren Sie eine verstärkte Überwachung der betroffenen Systeme, um verdächtige Aktivitäten zu erkennen, insbesondere während der Übergangsphase bis zur vollständigen Patch-Implementierung.
Langfristige Maßnahmen:
Patch Management: Etablieren Sie einen strukturierten Prozess zur zeitnahen Implementierung von SAP-Sicherheitsupdates und verfolgen Sie die Sicherheitshinweise von SAP kontinuierlich.
Schwachstellen-Monitoring: Etablieren Sie einen Prozess zur kontinuierlichen Überwachung Ihrer externen Angriffsfläche, um exponierte Systeme frühzeitig zu erkennen.
Vendor Risk Management: Bewerten Sie die Sicherheitslage Ihrer kritischen Dienstleister und Lieferanten systematisch.
Sichtbarkeit der Angriffsfläche mit LocateRisk
Schwachstellen wie CVE-2026-58231 unterstreichen die Notwendigkeit einer vollständigen und aktuellen Übersicht der externen Angriffsfläche. SAP-Commerce-Cloud-Instanzen werden häufig unter kundeneigenen Domains betrieben (z. B. shop.unternehmen.de) und können, wenn sie nicht zentral erfasst werden, zu unentdeckter Schatten-IT werden — also zu Systemen, die im offiziellen Asset-Inventar fehlen und damit außerhalb jedes Patch-Prozesses stehen.
LocateRisk unterstützt Unternehmen durch External Attack Surface Management (EASM) dabei, eine lückenlose Inventarisierung aller öffentlich erreichbaren IT-Systeme aufzubauen und aktuell zu halten. Die Plattform identifiziert exponierte Anwendungen — einschließlich vergessener Subdomains und nicht verwalteter Cloud-Assets — und ermöglicht es Sicherheitsteams, potenziell verwundbare Systeme zu erkennen, bevor oder unmittelbar nachdem eine kritische Schwachstelle bekannt wird. Durch kontinuierliches Monitoring kann die Zeit zwischen der versehentlichen Exposition eines Systems und dessen Erkennung deutlich verkürzt werden. Dies schafft die notwendige Transparenz, um Risiken gezielt zu priorisieren und zu mitigieren.
Bin ich betroffen?
Betroffen sind sap_se sap_commerce_cloud_data_hub_adapter in den oben genannten Versionen. Wer wissen will, ob sap_se sap_commerce_cloud_data_hub_adapter in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — maßgeblich bleibt der Abgleich mit dem Hersteller-Advisory.
CVE-2026-58231 ist eine Schwachstelle in SAP Commerce Cloud, die es einem unauthentifizierten Angreifer ermöglicht, über das Netzwerk beliebigen Code auszuführen (Remote Code Execution). Sie erhält den höchstmöglichen CVSS-Score von 10.0, weil keinerlei Authentifizierung oder Nutzerinteraktion erforderlich ist und eine erfolgreiche Ausnutzung vollständigen Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung hat.
Laut SAP Security Note 3771065 sind die Versionen COM_CLOUD 2211 und COM_CLOUD 2211-JDK21 von CVE-2026-58231 betroffen. Für beide Versionen sind Sicherheitsupdates verfügbar.
Ja, SAP hat Sicherheitsupdates bereitgestellt. Gemäß SAP Security Note 3771065 sind für COM_CLOUD 2211 und COM_CLOUD 2211-JDK21 Fixed Release Levels verfügbar, die die Schwachstelle beheben. Betroffene Unternehmen sollten diese Updates unverzüglich installieren.
Betroffene Unternehmen sollten zunächst alle Instanzen der SAP Commerce Cloud in den betroffenen Versionen inventarisieren und die in SAP Security Note 3771065 dokumentierten Sicherheitsupdates unverzüglich einspielen. Bis zur vollständigen Patch-Implementierung empfiehlt sich eine verstärkte Überwachung auf verdächtige Aktivitäten sowie, wo möglich, eine Einschränkung der Netzwerk-Erreichbarkeit.
Stand: 12.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-58231
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français