Das Wichtigste in Kürze
- In SAP Commerce Cloud klafft eine Lücke mit dem Höchstwert CVSS 10.0 — CVE-2026-58231.
- Ein Angreifer braucht keinerlei Anmeldedaten und kann eigenen Code auf dem System ausführen.
- Erste Angriffsversuche schlugen schon drei Tage nach dem Patch in Honeypots auf.
- Ein öffentlicher Exploit-Code ist bislang nicht bekannt — patchen ist trotzdem sofort fällig.
CVSS-Werte gehen bis 10. Weiter geht nicht. Und genau diesen Wert hat SAP der Lücke CVE-2026-58231 in SAP Commerce Cloud verpasst — der Shop-Plattform, auf der ein erheblicher Teil des europäischen B2B- und B2C-Handels läuft.
Warum das die Höchstnote bekommt
Eine 10.0 vergibt man nicht leichtfertig. Dafür müssen mehrere Dinge gleichzeitig zutreffen — und hier treffen sie alle zu:
- Kein Login nötig. Der Angreifer braucht keinen Account, kein Passwort, keinen gültigen Token.
- Aus dem Netz erreichbar. Er muss nicht im Firmennetz sitzen.
- Keine Nutzerinteraktion. Niemand muss auf irgendetwas klicken.
- Volle Wirkung. Vertraulichkeit, Integrität und Verfügbarkeit sind gleichermaßen betroffen.
Technisch handelt es sich laut CVE-Eintrag um eine Kombination aus unzureichender Berechtigungsprüfung und fehlender Eingabevalidierung. Ein nicht angemeldeter Angreifer kann einen standardmäßig vorhandenen Authentifizierungs-Client missbrauchen und präparierte Eingaben an Funktionen schicken, die diese Eingaben nicht sauber prüfen. Ergebnis: Ausführung beliebigen Codes und Kompromittierung interner Komponenten.
Angriffe laufen bereits
Das Threat-Intelligence-Unternehmen Defused Cyber berichtet, dass die ersten Angriffsversuche gegen CVE-2026-58231 bereits drei Tage nach Veröffentlichung des Patches in den eigenen Honeypot-Systemen aufschlugen. Honeypots sind absichtlich exponierte Lock-Systeme, mit denen Sicherheitsforscher beobachten, was da draußen gerade abgeklopft wird.
Wichtige Einordnung, damit hier niemand Panik verkauft: Ein öffentlicher Proof-of-Concept-Exploit ist bislang nicht bekannt. Die beobachteten Versuche zeigen, dass Angreifer die Lücke aktiv suchen und antesten — nicht zwingend, dass ein funktionierender Angriffscode frei kursiert. Das ist ein Unterschied. Aber es ist ein Unterschied mit sehr kurzer Haltbarkeit: Bei einer 10.0 dauert es erfahrungsgemäß nicht lange, bis jemand den fehlenden Baustein liefert.
Das musst du tun
Patchen. Und zwar richtig. SAP weist ausdrücklich darauf hin, dass es hier nicht mit dem Einspielen eines Updates getan ist: Kunden müssen auf die im SAP-Hinweis genannten korrigierten Commerce-Cloud-Stände aktualisieren und die aktualisierte Version anschließend neu bauen und neu ausrollen. Wer den Build- und Deploy-Schritt überspringt, läuft weiter mit dem verwundbaren Stand — das Update liegt dann zwar vor, wirkt aber nicht.
Als Übergangslösung nennt SAP ein IP Filter Set in SAP Commerce Cloud, mit dem sich der Zugriff auf den verwundbaren Endpunkt einschränken lässt. Das ist ein Notnagel, kein Ersatz für den Patch — aber wenn zwischen dir und dem nächsten Wartungsfenster ein Wochenende liegt, ist es deutlich besser als nichts.
Die Lehre fürs eigene Setup
Du betreibst wahrscheinlich keine SAP Commerce Cloud im Keller. Trotzdem steckt in dieser Meldung ein Muster, das dir überall begegnet:
„Standardmäßig vorhandener Authentifizierungs-Client“. Übersetzt: Etwas war ab Werk aktiv, das niemand bewusst eingeschaltet hat — und genau darüber lief der Angriff. Das ist dieselbe Geschichte wie beim Router mit aktivem UPnP, beim Datenbank-Container mit offenem Port, beim Admin-Panel, das auf allen Interfaces lauscht statt nur auf localhost.
Der praktische Reflex daraus: Schau dir bei jedem Dienst an, was ab Werk offen ist. Ein ss -tlnp auf deinem Server zeigt dir in einer Sekunde, welche Prozesse auf welchen Ports lauschen. Was du dort nicht erklären kannst, gehört zu oder hinter eine Firewall.
Und der zweite Reflex: Update heißt nicht automatisch aktiv. Bei Containern brauchst du einen Neustart mit dem neuen Image, bei Kernel-Updates einen Reboot, bei Bibliotheken einen Neustart der Dienste, die sie nutzen. Ein Paketmanager, der „erfolgreich“ meldet, sagt nichts darüber, ob der alte Code noch im Speicher läuft.
Häufige Fragen
Was bedeutet CVSS 10.0?
Es ist der höchstmögliche Schweregrad im Common Vulnerability Scoring System. Er wird nur vergeben, wenn ein Angriff aus der Ferne, ohne Anmeldung, ohne Nutzerinteraktion und mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit möglich ist.
Gibt es schon einen öffentlichen Exploit?
Nach aktuellem Stand nicht. Beobachtet wurden Angriffsversuche gegen den betroffenen Endpunkt in Honeypot-Systemen — ein frei verfügbarer, funktionierender Exploit-Code ist bislang nicht bekannt. Das kann sich bei einer Lücke dieser Schwere allerdings schnell ändern.
Reicht es, das Update einzuspielen?
Nein. SAP weist ausdrücklich darauf hin, dass die aktualisierte Commerce-Cloud-Version anschließend neu gebaut und neu ausgerollt werden muss. Ohne diesen Schritt läuft weiterhin der verwundbare Stand.
Was ist ein IP Filter Set?
Eine Zugriffsbeschränkung in SAP Commerce Cloud, mit der sich festlegen lässt, von welchen IP-Adressen aus bestimmte Endpunkte erreichbar sind. SAP nennt sie als temporäre Risikominderung, bis der Patch ausgerollt ist — als dauerhafter Ersatz taugt sie nicht.
Bin ich als Betreiber eines kleinen Onlineshops betroffen?
Nur, wenn du SAP Commerce Cloud einsetzt — das ist eine Enterprise-Plattform und in kleinen Shops praktisch nie im Einsatz. Shopware, WooCommerce oder Shopify sind von dieser konkreten Lücke nicht betroffen.