Schadcode im Anmarsch: SAP-Systeme werden über kritische Lücke attackiert

Was geschehen ist – die Kernmeldung ausführlich

Die IT-Sicherheitslage für Nutzer der E-Commerce-Lösung SAP Commerce Cloud, die vielen Anwendern noch unter ihrem früheren Namen SAP Hybris bekannt ist, hat sich drastisch verschärft. Wie aus aktuellen Berichten hervorgeht, wird derzeit eine kritische Sicherheitslücke aktiv von Angreifern ausgenutzt, um Schadcode auf betroffene Systeme zu schleusen. Das Ziel dieser Attacken ist die Kompromittierung der E-Commerce-Infrastruktur, was weitreichende Folgen für die betroffenen Onlineshops haben kann. Die Schwachstelle, die unter der Kennung CVE-2026-58231 geführt wird, ermöglicht es Unbefugten, ohne vorherige Authentifizierung oder eine Interaktion durch den Nutzer auf die Systeme zuzugreifen. Die Bedrohungslage wird als äußerst ernst eingestuft, da die Angriffe bereits kurz nach der Veröffentlichung der Sicherheitsinformationen in freier Wildbahn beobachtet wurden. Administratoren weltweit sind dazu aufgerufen, ihre Systeme unverzüglich zu überprüfen und die bereitgestellten Sicherheitsupdates einzuspielen, um eine Übernahme durch Kriminelle zu verhindern. Die Dringlichkeit ergibt sich aus der Kombination einer sehr einfachen Ausnutzbarkeit der Lücke und der weiten Verbreitung der betroffenen Softwarelösung im professionellen Umfeld.

Die Einzelheiten – Zahlen, Namen und technische Fakten

Die Sicherheitslücke CVE-2026-58231 erreicht auf der Skala des Common Vulnerability Scoring System (CVSS) den maximal möglichen Wert von 10,0, was sie als kritisch einstuft. Technisch gesehen beruht das Problem auf einer unzureichenden Validierung von Eingaben, die über einen Standard-Authentifizierungsclient an bestimmte Funktionen des Systems übermittelt werden. Angreifer nutzen diese Schwachstelle, um beliebigen Schadcode auszuführen, was zur vollständigen Kompromittierung interner Systemkomponenten führt. Die Angriffe erfolgen über das Netzwerk und erfordern laut der Schweregradeinstufung keine Nutzerinteraktion. Die Shadowserver Foundation hat im Rahmen ihrer Scans ermittelt, dass weltweit etwa 4.300 Instanzen der SAP Commerce Cloud direkt über das Internet erreichbar sind. Davon entfallen rund 2.400 Instanzen auf den europäischen Raum, während in Deutschland knapp über 100 Systeme identifiziert wurden, die potenziell als Angriffsfläche dienen könnten. SAP hat bereits am 11. August 2026 einen entsprechenden Patch veröffentlicht, um die Schwachstelle zu schließen. Sicherheitsforscher der Firma Defused meldeten bereits am 14. August erste gezielte Angriffsversuche auf ihre eigenen Honeypot-Systeme, was die akute Gefahr für ungepatchte Umgebungen unterstreicht.

Hintergrund – Vorgeschichte und bisheriger Verlauf

Die Entdeckung der Sicherheitslücke fällt in den Zeitraum des August-Patchdays von SAP, an dem der Konzern eine Vielzahl von Sicherheitsupdates für unterschiedliche Produkte veröffentlichte. Die Schwachstelle in der Commerce Cloud sticht dabei durch ihre kritische Einstufung besonders hervor. Die Entwicklung zeigt, wie schnell Angreifer auf neu bekannt gewordene Sicherheitslücken reagieren. Nachdem SAP die notwendigen Korrekturen bereitgestellt hatte, dauerte es nur wenige Tage, bis die ersten Versuche zur Ausnutzung der Lücke in der Praxis dokumentiert wurden. Die Sicherheitsforscher von Defused spielten hierbei eine zentrale Rolle, indem sie durch den Einsatz von Honeypots – also bewusst als Köder aufgestellte, verwundbare Systeme – die Aktivitäten der Angreifer frühzeitig identifizierten. SAP selbst hat auf diese Meldungen reagiert und gegenüber dem Medium Bleeping Computer bestätigt, dass man sich der Problematik bewusst sei und bereits eigene Untersuchungen eingeleitet habe. Die Veröffentlichung der Scans durch die Shadowserver Foundation hat zudem das Ausmaß der potenziellen Angriffsfläche verdeutlicht, da sie aufzeigte, wie viele Commerce-Cloud-Instanzen weltweit ohne ausreichende Abschirmung direkt aus dem Internet erreichbar sind.

Die Beteiligten – Betroffene und Institutionen

Im Zentrum der Ereignisse steht der Softwarekonzern SAP, der für die Wartung und Sicherheit der Commerce Cloud verantwortlich ist. Das Unternehmen hat mit der Bereitstellung des Patches am 11. August die notwendigen technischen Voraussetzungen geschaffen, um die Sicherheitslücke zu schließen. Auf der Seite der Sicherheitsanalysten ist das Unternehmen Defused zu nennen, dessen Forscher die ersten Angriffsversuche auf ihre Honeypots feststellten und damit die Öffentlichkeit alarmierten. Ebenfalls involviert ist die Shadowserver Foundation, eine Organisation, die durch ihre Internet-Scans Transparenz über die Verbreitung anfälliger Systeme schafft und so das Ausmaß der Bedrohung quantifizierbar macht. Die Bleeping Computer-Redaktion fungierte als Kommunikationskanal, über den SAP den Eingang der Meldungen und die eingeleiteten Untersuchungen bestätigte. Die Hauptleidtragenden sind die Administratoren und Unternehmen, die SAP Commerce Cloud einsetzen. Sie stehen nun unter dem hohen Druck, die Sicherheitsupdates zeitnah zu implementieren, um ihre Onlineshops und internen Daten vor einer Übernahme durch Angreifer zu schützen.

Einordnung – Was das bedeutet

Einzuordnen ist das so: Eine Schwachstelle mit einem CVSS-Wert von 10,0 stellt das Worst-Case-Szenario für jeden IT-Betreiber dar. Dass die Lücke zudem ohne Authentifizierung aus der Ferne ausnutzbar ist, macht sie zu einem idealen Ziel für automatisierte Angriffe. Den Berichten zufolge ist die Komplexität der Attacke gering, was bedeutet, dass auch weniger versierte Angreifer in der Lage sein könnten, die Schwachstelle erfolgreich auszunutzen, sobald der Exploit-Code in einschlägigen Foren oder Datenbanken kursiert. Die Tatsache, dass bereits kurz nach dem Patchday Angriffe beobachtet wurden, deutet auf eine hohe Motivation der Angreifer hin, die Systeme zu kompromittieren, bevor die Administratoren reagieren können. Die hohe Anzahl von über 4.000 öffentlich erreichbaren Instanzen zeigt zudem ein strukturelles Problem in der Konfiguration vieler E-Commerce-Umgebungen auf. Es ist davon auszugehen, dass die Angreifer gezielt nach solchen Systemen suchen, um entweder Daten abzugreifen oder die Infrastruktur für weitere kriminelle Aktivitäten, wie etwa das Einschleusen von Schadcode in Onlineshops, zu nutzen.

Offene Fragen – Was der Quelltext nicht beantwortet

Der vorliegende Quelltext lässt einige wichtige Fragen offen, die für die betroffenen Unternehmen von hoher Relevanz sein könnten. Zunächst bleibt unklar, wie viele der 4.300 von der Shadowserver Foundation identifizierten Systeme tatsächlich bereits erfolgreich kompromittiert wurden, bevor die Administratoren den Patch einspielen konnten. Der Text gibt keine Auskunft darüber, ob es bereits zu einem massenhaften Datenabfluss oder zu Schäden an realen Onlineshops gekommen ist, oder ob sich die Angriffe bisher primär auf die Honeypots der Sicherheitsforscher beschränkten. Zudem bleibt offen, welche spezifischen Funktionen innerhalb der SAP Commerce Cloud genau für die fehlerhafte Eingabevalidierung verantwortlich sind. Auch ist nicht bekannt, ob SAP neben dem Patch weitere spezifische Indikatoren für eine Kompromittierung (Indicators of Compromise, IoCs) bereitgestellt hat, die es Administratoren erleichtern würden, einen bereits erfolgten Einbruch in ihren Systemen zweifelsfrei festzustellen. Die Frage, wie viele der betroffenen Systeme bereits gepatcht wurden, wird durch die Scans ebenfalls nicht beantwortet, da diese lediglich den Status der Erreichbarkeit und nicht den Patch-Stand erfassen.

Wie es weitergeht – Angekündigte Schritte

Für die betroffenen Administratoren gibt es einen klaren Handlungsauftrag: Die zum August-Patchday bereitgestellten Updates müssen so schnell wie möglich installiert werden. SAP empfiehlt seinen Kunden dringend, diesen Prozess nicht aufzuschieben. Über die reine Installation der Patches hinaus ist es ratsam, die betroffenen Systeme einer forensischen Untersuchung zu unterziehen, um sicherzustellen, dass keine Kompromittierung stattgefunden hat, bevor der Schutzmechanismus aktiv wurde. Da SAP eigene Untersuchungen eingeleitet hat, ist zudem mit weiteren Informationen oder Sicherheitshinweisen zu rechnen, sofern der Konzern neue Erkenntnisse über die Angriffsmethoden oder die Verbreitung der Schwachstelle gewinnt. Die Sicherheitsgemeinschaft wird die Entwicklung vermutlich weiterhin genau beobachten, um festzustellen, ob die Angriffe an Intensität zunehmen oder ob die Zahl der verwundbaren Instanzen durch die Patch-Maßnahmen der Administratoren in den kommenden Tagen signifikant sinkt. Unternehmen sind gut beraten, die offiziellen Sicherheitskanäle von SAP kontinuierlich zu verfolgen, um auf etwaige zusätzliche Empfehlungen zeitnah reagieren zu können.