SAP Commerce Cloud CVE-2026-58231: уязвимость максимального балла CVSS 10 атакуют через три дня после патча

Коротко о главном

12 августа 2026 года SAP выпустила патч для CVE-2026-58231 — уязвимости максимальной опасности с оценкой CVSS 10.0 в компоненте Data Hub Adapter платформы SAP Commerce Cloud. Брешь позволяет неавторизованному атакующему выполнить произвольный код на сервере. Уже 14 августа — через три дня после выхода исправления — компания Defused зафиксировала первые попытки эксплуатации на своих приманочных системах. Публичного PoC на тот момент не существовало.

SAP Commerce Cloud (ранее SAP Hybris) используется крупными ритейлерами и B2B-платформами для управления корзиной, каталогом, заказами и ценообразованием. Если вашей команде приходится поддерживать веб-платформу или интеграции на базе SAP, патч нужно установить немедленно — атаки уже идут.

По данным Shadowserver, более 4 200 экземпляров SAP Commerce Cloud остаются открытыми в интернете. Если в вашей инфраструктуре используется эта платформа, ситуация требует срочной реакции: аудит и оценка безопасности помогут убедиться, что компонент Data Hub Adapter недоступен из сети без необходимости.

Что представляет собой CVE-2026-58231

Уязвимость находится в компоненте Data Hub Adapter — модуле SAP Commerce Cloud, который отвечает за обмен данными между Commerce и другими системами SAP-ландшафта (SAP ERP, S/4HANA). Ошибка классифицируется как недостаточная проверка авторизации и входных данных (CWE-287 / insufficient authorization checks and input validation).

Суть проблемы: SAP Commerce Cloud содержит клиент аутентификации, настроенный по умолчанию. Неавторизованный атакующий может обратиться к определённым функциям этого адаптера и передать специально сформированные данные, которые система принимает без надлежащей проверки. Результат — произвольное выполнение кода с привилегиями процесса SAP Commerce Cloud Server, то есть полная компрометация конфиденциальности, целостности и доступности сервера.

Оценка CVSS 10.0 — максимально возможная — означает, что атака не требует ни учётных данных, ни взаимодействия с пользователем, а вектор — сетевой: достаточно HTTP/HTTPS-доступа к серверу.

Хронология: патч и атаки

SAP опубликовала исправление 12 августа 2026 года в рамках августовского Patch Day (security note 3771065). Уже через три дня, 14 августа, специалисты компании Defused зафиксировали попытки эксплуатации уязвимости на honeypot-системах. Примечательно, что на тот момент в открытом доступе не было ни одного публичного proof-of-concept — атакующие самостоятельно реконструировали вектор по техническому описанию в сообщении SAP.

Это укладывается в устойчивую тенденцию: для высокоценных корпоративных платформ — SAP, Oracle, Microsoft Exchange — промежуток между публикацией патча и началом массовой эксплуатации сократился до нескольких дней. Предыдущая максимальная уязвимость SAP (CVE-2025-31324, тоже CVSS 10.0) была взята на вооружение китайскими APT-группами и финансово мотивированными атакующими в схожие сроки.

Масштаб проблемы: 4 200+ открытых экземпляров

По данным Shadowserver на середину августа 2026 года, более 4 200 экземпляров SAP Commerce Cloud доступны из интернета напрямую. Это означает, что атакующим не нужно прорываться сквозь периметральную защиту — достаточно отправить запрос к уязвимому эндпоинту Data Hub Adapter.

SAP Commerce Cloud распространена среди крупного ритейла, телекома и B2B-платформ. Последствия успешной эксплуатации включают: несанкционированный доступ к базам данных с заказами и клиентскими данными, выполнение вредоносного кода с расчётом на горизонтальное перемещение внутри сети, а также встраивание persistence-механизмов для долгосрочного присутствия в инфраструктуре.

Как устранить уязвимость

SAP настоятельно рекомендует установить исправление «с немедленным эффектом» — security note 3771065. Процесс включает обновление релиза SAP Commerce Cloud до исправленной версии с последующей повторной сборкой и задеплоем обновлённого экземпляра платформы.

Если немедленное обновление невозможно по организационным причинам, SAP и партнёр по безопасности Onapsis рекомендуют временную меру: настроить IP Filter Set в SAP Commerce Cloud так, чтобы ограничить доступ к уязвимому эндпоинту Data Hub Adapter только с доверенных IP-адресов или полностью изолировать компонент от публичного интернета.

Проверьте также, действительно ли компонент Data Hub Adapter необходим в вашей конфигурации: если интеграции с SAP ERP/S/4HANA не используются, адаптер можно отключить, сократив поверхность атаки.

Что делать команде прямо сейчас

Приоритеты для команд, использующих SAP Commerce Cloud:

Немедленно: установите security note 3771065 и задеплойте обновлённый экземпляр. Это единственное полное устранение уязвимости. Если уже ведёте мониторинг доступа к Data Hub Adapter — проверьте логи за период с 12 августа: аномальные запросы с нетипичных IP — признак возможной компрометации.

До установки патча: примените IP-фильтрацию на уровне SAP Commerce Cloud или WAF/межсетевого экрана, чтобы закрыть эндпоинт адаптера от публичного доступа. Убедитесь, что Data Hub Adapter вообще нужен в вашей конфигурации — в противном случае отключите его.

После патча: проведите ревизию смежных компонентов SAP-ландшафта. Если атакующие получили доступ до установки исправления, они могли оставить persistence в смежных системах. Проверьте integrity системных файлов и учётных записей с расширенными привилегиями.

Часто задаваемые вопросы

Затрагивает ли CVE-2026-58231 SAP Hybris (старое название)? Да. SAP Commerce Cloud — это современное название платформы, ранее известной как SAP Hybris Commerce. Уязвимость в компоненте Data Hub Adapter относится ко всем актуальным релизам, подпадающим под security note 3771065.

Нужны ли атакующему учётные данные? Нет. Уязвимость эксплуатируется без авторизации — именно это обусловливает максимальную оценку CVSS 10.0. Достаточно сетевой доступности порта SAP Commerce Cloud.

Есть ли публичный PoC? На момент выхода первых отчётов об эксплуатации (14 августа 2026) публичного PoC не существовало. Атакующие самостоятельно реконструировали вектор. Появление публичного exploit-кода может резко увеличить количество атак — медлить с патчем нельзя.

Что делать, если патч нельзя установить прямо сейчас? Примените IP Filter Set в консоли SAP Commerce Cloud, чтобы ограничить доступ к Data Hub Adapter только с доверенных адресов. Это временная мера, а не замена патчу.

Как проверить, что мой экземпляр уязвим? Убедитесь, что Data Hub Adapter активен и доступен извне. Версию платформы и применённые security notes можно проверить в консоли SAP Commerce Cloud. Детали — в SAP security note 3771065.

Источники

BleepingComputer — Max severity SAP Commerce Cloud flaw now targeted in attacks (15 августа 2026).

The Hacker News — SAP Commerce Cloud CVE-2026-58231 Targeted in Exploitation Attempts Days After Patch (15 августа 2026).

SAP Security Note 3771065 — официальное описание уязвимости и инструкции по исправлению (SAP Support Portal, август 2026).