脅威インテリジェンス企業Defusedによると、3日前に修正されたばかりのSAP Commerce Cloudの深刻度最大のリモートコード実行(RCE)脆弱性が、すでに攻撃の標的になっているとのことです。
Commerce Cloud(旧SAP Hybris)は、世界的な有名ブランドや大手小売業者のオンラインストアで利用されているクラウドベースのeコマースプラットフォームです。
CVE-2026-58231として追跡されているこの深刻な脆弱性は、Commerce Cloudのコア機能であるData Hub Adapter拡張機能における不適切な認可の不備に起因しており、権限を持たない攻撃者でも低い複雑度の攻撃で任意コードを実行できてしまいます。
SAPは次のように説明しています。「SAP Commerce Cloudでは、認証されていない攻撃者がデフォルトの認証クライアントを悪用し、検証が不十分な特定の機能に対して細工した入力を送信できてしまいます」
「悪用に成功すると、任意コードの実行や内部コンポーネントの侵害が可能となり、アプリケーションの機密性・完全性・可用性に大きな影響を及ぼす恐れがあります」
SAPは今週火曜日に公開したセキュリティ勧告の中で、この脆弱性が実際に悪用されているとはまだ明言していませんが、Defusedのセキュリティ研究者らは本日、CVE-2026-58231がすでに実環境で標的にされていることを確認したと発表しました。
Defusedは金曜日の投稿で次のように警告しました。「CVE-2026-58231(SAP Commerce Cloudにおける未認証RCE、CVSS 10.0)に対する最初の悪用の試みが、パッチ公開日から3日後の現在、当社のハニーポットで検知され始めています。この脆弱性には公開されているPoCはなく、悪用されていることも知られていませんでした」
インターネットセキュリティを監視する団体Shadowserverは、SAP Commerce Cloudのフィンガープリントを持つIPアドレスを4,200以上追跡しており、その大半は欧州と北米に存在しています。
ただし、これらのうちどれだけがハニーポットであるか、あるいはすでにCVE-2026-58231への対策が施されているかについての情報はありません。
直近では、SAPは2026年7月のセキュリティパッチパッケージで16件の脆弱性を修正し、6月と5月にはさらに30件の脆弱性を修正しています。この中には、エンタープライズ向けeコマースプラットフォームであるCommerce Cloudに影響する、深刻度の高い脆弱性3件(CVE-2026-44761、CVE-2026-22732、CVE-2026-34263)も含まれています。
4月には、セキュリティ企業のAikidoとSocketも、開発者のシステムから認証情報を窃取しようとする攻撃者が、複数のSAP公式npmパッケージをサプライチェーン攻撃で侵害していたと報告しています。
2021年11月以降、米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は、既知の悪用された脆弱性(KEV)カタログにSAPの脆弱性を14件追加しており、その中にはランサムウェア攻撃で悪用された3件も含まれています。
SAPはドイツの多国籍ソフトウェア企業で、世界の上位100社中99社にサービスを提供しており、2025会計年度の総収益は360億ユーロを超えたと報告しています。
攻撃者が正規の認証情報を入手した後、その行動のうちブロックできるのはわずか37%
防御の全体的な成功率だけを見ていると、初期侵入後に何が起きているかを見落としてしまいます。攻撃者が正規の認証情報を使い始めると、防御成功率は急激に低下します。
The Blue Report 2026は、顧客の本番環境で実施された3億3,800万件のシミュレーションをもとに、手法ごとに防御力を測定しています。
