攻撃者、SAP Commerce Cloudの重大な脆弱性CVE-2026-58231を公開後わずか数日でスキャン開始

脅威アクターらは、パッチ公開からわずか3日後にはSAP Commerce Cloudシステムに対して重大な脆弱性を狙ったスキャンを開始していました。DefusedCyberの報告によると、同社のハニーポットシステムでCVE-2026-58231に対する最初の悪用試行を検知したのは8月14日のことです。この時点では、当該脆弱性を突く公開エクスプロイトコードはまだ出回っていませんでした。

Data Hub Adapterに存在する重大な未認証の脆弱性

SAPは8月11日、月例セキュリティアップデートの一環としてこの脆弱性に対処しました。CVE-2026-58231は深刻度10.0(Critical)と評価されており、Data Hub Adapterコンポーネントを含むSAP Commerce Cloud環境、具体的にはバージョンCOM_CLOUD 2211および2211-JDK21に影響します。

この脆弱性により、攻撃者はユーザーアカウントや事前の認証を一切必要とせず、インターネット経由で直接サーバーを侵害できます。攻撃者は標準の認証クライアントにアクセスし、受信データを適切に検証できていない関数に対して細工したデータを送り込むことが可能です。その結果、サーバー上で攻撃者が指定した任意のコードを実行させられる恐れがあります。

CVE-2026-58231の悪用に成功すると、攻撃者はSAP Commerce Cloudの内部コンポーネントを操作し、データの読み取り・改ざんを行い、アプリケーションの機能を妨害できるようになります。攻撃の実行にシステム権限もユーザー操作も一切必要とせず、SAPは全体的な悪用の難易度を「低い」と評価しています。

パッチ公開から3日以内に始まった悪用

DefusedCyberの報告によれば、悪用の試みはパッチ公開からわずか3日以内に同社のハニーポットシステムに到達していました。当時、CVE-2026-58231に対する公開の概念実証(PoC)コードは存在せず、それ以前の悪用報告もありませんでした。この観測結果は、脆弱性の公表からアップデートの公開後ほぼ即座に、攻撃者が実際の悪用試行へといかに迅速に移行できたかを物語っています。

米国国立脆弱性データベース(NVD)は、CVE-2026-58231について独自の深刻度評価をまだ公表していませんが、SAP自身による10.0という評価を引用しており、この脆弱性が影響を受けるシステムの機密性・完全性・可用性を完全に侵害しうると指摘しています。米国サイバーセキュリティ・インフラセキュリティ庁(CISA)が8月11日に公開したデータの時点では、悪用は「まだ観測されていない」とされていましたが、この状況はDefusedCyberの発見によってすでに覆されています。

管理者への推奨対応

SAP Commerce Cloudを運用する管理者には、利用可能なSAPのアップデートをできるだけ速やかに適用することが推奨されます。脆弱性のあるサーバーが8月11日以降もインターネットからアクセス可能な状態にあった場合は、イベントログの確認、見覚えのないアカウントの出現有無のチェック、その他環境における予期しない変更がないかの調査を行う価値があります。またSAPは、通常の保守作業よりも公開されたセキュリティパッチの適用を優先するよう推奨しています。