Patchday: SAP Commerce Cloud komplett kompromittierbar

Sicherheitsrisiko in SAP-Umgebungen

Der Softwarehersteller SAP hat im Rahmen seines jüngsten Patchdays auf eine Reihe von Sicherheitslücken reagiert, die das gesamte Portfolio betreffen. Besonders im Fokus steht dabei die SAP Commerce Cloud, bei der Angreifern unter Umständen die vollständige Übernahme der Instanzen droht. Insgesamt wurden 40 verschiedene CVE-Nummern (Common Vulnerabilities and Exposures) adressiert, wobei vier dieser Schwachstellen von den Entwicklern als kritisch eingestuft wurden.

Maximale Bedrohung: CVE-2026-58231

Die schwerwiegendste Lücke trägt die Kennung CVE-2026-58231 und erreicht den höchstmöglichen CVSS-Score von 10,0. Diese Schwachstelle ermöglicht es Angreifern, die Commerce Cloud ohne vorherige Authentifizierung zu attackieren. Ursache ist eine unzureichende Überprüfung von Eingaben, die es ermöglicht, Schadcode direkt auf dem System auszuführen. Da für diesen Angriff keine Benutzerrechte erforderlich sind, stellt er ein erhebliches Risiko für die Integrität und Vertraulichkeit der betroffenen Unternehmensdaten dar.

Weitere betroffene SAP-Produkte

Neben der Commerce Cloud sind weitere Kernkomponenten der SAP-Infrastruktur von Sicherheitsmängeln betroffen:

* **Manufacturing Integration and Intelligence:** Hier wurden zwei Schwachstellen (CVE-2026-44772, CVE-2026-44758) identifiziert, die ebenfalls die Ausführung von Schadcode ermöglichen.

* **Application Server ABAP für SAP NetWeaver und ABAP Platform:** Eine Schwachstelle (CVE-2026-34265) kann hier gezielt ausgenutzt werden, um Systemabstürze zu provozieren, was die Verfügbarkeit der Geschäftsprozesse gefährdet.

* **BusinessObjects Business Intelligence und Social Intelligence:** Auch in diesen Bereichen wurden Sicherheitslücken geschlossen, die unter anderem unbefugte Zugriffe auf sensible Daten oder das Einschleusen von Schadsoftware erlaubten.

Hintergrund und Handlungsempfehlungen

Die Vielzahl der geschlossenen Lücken unterstreicht die Notwendigkeit, Sicherheitsupdates in SAP-Umgebungen zeitnah und strukturiert einzuspielen. Da Angreifer bei derartigen Schwachstellen häufig automatisierte Methoden nutzen, um verwundbare Systeme zu identifizieren, ist eine schnelle Reaktion der IT-Abteilungen entscheidend, um das Zeitfenster für mögliche Attacken zu minimieren.

Für Unternehmen, die SAP-Lösungen einsetzen, ist der nächste Schritt der Besuch des offiziellen SAP-Support-Portals. Dort finden Kunden detaillierte Informationen zu den betroffenen Versionen und den entsprechenden Patches. Es wird dringend empfohlen, die bereitgestellten Updates umgehend zu prüfen und zu installieren, um die IT-Infrastruktur gegen externe Zugriffe abzusichern. Die Dokumentation im Support-Portal dient dabei als primäre Informationsquelle, um die spezifischen Anforderungen für die eigene Systemlandschaft zu ermitteln.