Angriffe auf SAP-Commerce-Cloud-Lücke beobachtet

Was geschehen ist – die Kernmeldung ausführlich

In der vergangenen Woche sah sich der Softwarekonzern SAP dazu veranlasst, auf eine schwerwiegende Sicherheitslücke in der SAP Commerce Cloud zu reagieren. Im Rahmen des regulären August-Patchdays wurden entsprechende Software-Aktualisierungen bereitgestellt, um eine kritische Schwachstelle zu schließen, die es Angreifern ermöglicht, ohne vorherige Authentifizierung Schadcode in das System einzuschleusen und diesen dort auszuführen. Die Dringlichkeit dieser Maßnahme wurde durch Ereignisse am darauffolgenden Wochenende unterstrichen: IT-Sicherheitsforscher beobachteten erste gezielte Angriffsversuche auf genau diese Schwachstelle. Die Situation stellt eine unmittelbare Bedrohung für Unternehmen dar, die ihre Instanzen der Commerce Cloud noch nicht auf den neuesten Stand gebracht haben. Da die Lücke bereits aktiv im Netz angegriffen wird, ist die Zeitspanne für eine sichere Reaktion der IT-Abteilungen extrem kurz. Die Sicherheitsforscher von DefusedCyber dokumentierten die ersten Exploit-Versuche in ihren eigenen Honeypot-Systemen, was die Ernsthaftigkeit der Lage unterstreicht. Es handelt sich um ein klassisches Szenario, bei dem nach der Veröffentlichung von Sicherheits-Patches die Zeit bis zur ersten Ausnutzung der Lücke durch Cyberkriminelle drastisch geschrumpft ist, was den Druck auf Administratoren weltweit massiv erhöht.

Die Einzelheiten – Zahlen, Namen und Hintergründe

Die betroffene Schwachstelle wird unter der Kennung CVE-2026-58231 geführt und ist mit einem CVSS-Wert von 10.0 bewertet, was dem maximalen Risiko entspricht und als „kritisch“ eingestuft ist. Die technische Ursache liegt laut SAP in einem Standard-Authentifizierungs-Client, der von Angreifern missbraucht werden kann. Durch die Übergabe von manipulierten Eingaben an bestimmte, namentlich nicht näher benannte Funktionen, die über eine unzureichende Prüfung verfügen, gelingt es den Akteuren, Schadcode einzuschleusen. Die Entdeckung der aktiven Angriffsversuche erfolgte am Freitagnachmittag durch das Team von DefusedCyber, lediglich drei Tage nachdem SAP die entsprechenden Patches veröffentlicht hatte. Bemerkenswert ist dabei, dass zum Zeitpunkt der ersten beobachteten Versuche noch kein öffentlicher Proof-of-Concept-Exploit existierte und auch kein allgemeiner Missbrauch der Lücke bekannt war. Die Forscher von DefusedCyber teilten ihre Beobachtungen über einen kurzen Beitrag auf der Plattform X mit. Bislang haben weder der Softwarehersteller SAP noch die US-amerikanische IT-Sicherheitsbehörde CISA offiziell auf die Berichte über die aktiven Angriffsversuche reagiert, und der Eintrag im Katalog der „Known Exploited Vulnerabilities“ der CISA enthält bisher keine entsprechenden Hinweise.

Hintergrund – Der Weg zur kritischen Schwachstelle

Die Sicherheitslücke in der SAP Commerce Cloud wurde im Zuge des August-Patchdays am vergangenen Dienstag adressiert. SAP hatte hierbei eine Vielzahl von Softwareflicken bereitgestellt, um diverse Schwachstellen in ihren Produkten zu beheben. Die spezifische Lücke in der Commerce Cloud ermöglichte es Angreifern, ohne eine vorherige Anmeldung oder Identifizierung auf das System zuzugreifen. Dies ist besonders kritisch, da in der Architektur der Commerce Cloud der Authentifizierungs-Client als Einfallstor fungieren konnte. Dass es überhaupt zu einer solchen Situation kommen konnte, liegt in der komplexen Natur der Software begründet, bei der bestimmte Funktionen eine unzureichende Validierung der Benutzereingaben aufwiesen. Die Sicherheitsforscher betonen, dass es sich hierbei um eine Schwachstelle handelt, die es Angreifern erlaubt, die volle Kontrolle über die Instanzen zu erlangen, sofern diese nicht durch die bereitgestellten Patches geschützt sind. Der bisherige Verlauf zeigt, dass die Zeit zwischen der Veröffentlichung der Sicherheitsupdates und der ersten aktiven Ausnutzung durch Cyberkriminelle immer kürzer wird. Während in der Vergangenheit oft Wochen oder Monate zwischen Patch-Release und Exploit lagen, zeigen die aktuellen Ereignisse, dass die Angreifer die Patch-Ankündigungen von SAP genauestens verfolgen und ihre Angriffe unmittelbar nach der Veröffentlichung der Details anpassen.

Die Beteiligten – Wer ist betroffen und wer entscheidet

Die Hauptakteure in diesem Szenario sind einerseits der Softwarehersteller SAP, der für die Bereitstellung der Sicherheitsupdates verantwortlich ist, und andererseits die IT-Verantwortlichen und Administratoren in den Unternehmen, die die SAP Commerce Cloud einsetzen. Diese müssen nun entscheiden, wie schnell die bereitgestellten Patches in ihre produktiven Umgebungen eingespielt werden können. Die Sicherheitsforscher von DefusedCyber fungieren in diesem Fall als Beobachter und Warner, die durch ihre Honeypot-Systeme die Gefahr frühzeitig erkannt und öffentlich gemacht haben. Die US-amerikanische IT-Sicherheitsbehörde CISA ist ebenfalls involviert, da sie den Katalog der „Known Exploited Vulnerabilities“ pflegt, in dem solche kritischen Schwachstellen gelistet werden, sobald sie aktiv ausgenutzt werden. Bisher ist die Behörde jedoch noch nicht aktiv geworden, was die Bedeutung der Eigenverantwortung der Unternehmen unterstreicht. Die betroffenen Unternehmen sind angehalten, ihre Systeme nicht nur zu patchen, sondern auch eine forensische Untersuchung ihrer Protokolldateien durchzuführen, um festzustellen, ob bereits vor dem Einspielen des Patches unbefugte Zugriffe stattgefunden haben oder neue, verdächtige Konten angelegt wurden.

Einordnung – Was das bedeutet

Einzuordnen ist die aktuelle Bedrohungslage als besonders schwerwiegend. Ein CVSS-Wert von 10.0 signalisiert, dass die Schwachstelle ohne großen Aufwand aus der Ferne ausgenutzt werden kann und eine vollständige Kompromittierung des Systems ermöglicht. Den Berichten zufolge müssen Unternehmen, die ihre Instanzen noch nicht aktualisiert haben, davon ausgehen, dass ihre Systeme bereits kompromittiert sein könnten. Das bedeutet, dass die bloße Installation des Patches unter Umständen nicht ausreicht, um die Sicherheit wiederherzustellen, wenn Angreifer bereits Zugriff erlangt haben. Die Empfehlung, anfällige Instanzen so zu behandeln, als seien sie bereits infiltriert, ist eine drastische, aber notwendige Vorsichtsmaßnahme. Dies impliziert, dass Administratoren nach Anzeichen für unbefugte Aktivitäten suchen müssen, wie etwa unerwartete Änderungen in den Systemprotokollen oder die Einrichtung neuer Benutzerkonten. Die Situation verdeutlicht zudem, wie wichtig eine proaktive Sicherheitsstrategie ist, bei der Patch-Management nicht nur als administrative Aufgabe, sondern als kritischer Bestandteil der Unternehmenssicherheit verstanden wird. Die Schnelligkeit der Angreifer zeigt, dass man sich nicht auf die Zeit verlassen darf, die normalerweise zwischen einer Patch-Veröffentlichung und der Entdeckung einer Schwachstelle durch Kriminelle vergeht.

Offene Fragen – Was der Quelltext nicht beantwortet

Der vorliegende Quelltext lässt einige Fragen offen, die für die betroffenen Unternehmen von großer Bedeutung sein könnten. Zunächst werden die spezifischen Funktionen, die von der unzureichenden Prüfung betroffen sind, nicht im Detail benannt, was die manuelle Überprüfung der Systeme durch Administratoren erschwert. Ebenso bleibt unklar, wie viele Instanzen der SAP Commerce Cloud weltweit tatsächlich von der Schwachstelle betroffen sind und ob es bereits konkrete Schadensmeldungen von Unternehmen gibt, die Opfer eines Angriffs wurden. Der Text gibt zudem keine Auskunft darüber, ob SAP weitere Maßnahmen plant, um die betroffenen Kunden bei der Identifizierung von Kompromittierungen zu unterstützen, oder ob es spezielle Tools gibt, die die Suche nach Spuren eines Angriffs erleichtern. Auch die Frage, warum die US-amerikanische Sicherheitsbehörde CISA bisher noch nicht reagiert hat, bleibt unbeantwortet. Es ist unklar, ob dies an einer langsamen internen Prüfung liegt oder ob die Behörde die Bedrohungslage anders einschätzt als die Forscher von DefusedCyber. Zudem wird nicht explizit darauf eingegangen, welche spezifischen Arten von Schadcode die Angreifer bei ihren Versuchen in den Honeypots eingesetzt haben, was eine genauere Einschätzung des Ziels der Angriffe ermöglichen würde.

Wie es weitergeht – Ausstehende Schritte

Für IT-Verantwortliche ist der wichtigste nächste Schritt die unverzügliche Anwendung der von SAP bereitgestellten Softwareupdates. Sollte dies bisher noch nicht geschehen sein, muss die Priorität auf der sofortigen Installation liegen. Darüber hinaus ist eine gründliche Untersuchung der Systemprotokolle auf unerwartete Vorkommnisse zwingend erforderlich. Administratoren sollten explizit nach Anzeichen für neu eingerichtete Konten oder ungewöhnliche Aktivitäten suchen, um festzustellen, ob ein unbefugter Zugriff bereits stattgefunden hat. Da die Schwachstelle nun im Netz aktiv angegriffen wird, ist davon auszugehen, dass die Anzahl der Angriffsversuche in den kommenden Tagen weiter zunehmen wird. Es bleibt abzuwarten, ob SAP weitere Stellungnahmen abgibt oder ob die CISA die Schwachstelle in ihren Katalog aufnimmt, was die Dringlichkeit für Unternehmen weltweit weiter erhöhen würde. Die Unternehmen sind nun in der Pflicht, ihre Sicherheitsinfrastruktur zu prüfen und gegebenenfalls weitere Schutzmaßnahmen zu ergreifen, um die Auswirkungen einer möglichen Kompromittierung zu minimieren. Die Situation bleibt dynamisch, und eine kontinuierliche Überwachung der Systeme ist in den kommenden Wochen unerlässlich, um sicherzustellen, dass keine Hintertüren für spätere Angriffe offen gelassen wurden.