概要
SAP Commerce Cloud(旧SAP Hybris)のData Hub Adapter拡張機能に存在する最大深刻度の脆弱性CVE-2026-58231(CVSS 10.0)が、SAPによるパッチ公開からわずか3日後の2026年8月14日に、実際の攻撃で悪用され始めたことが明らかになった。この脆弱性は認可不備に起因するもので、未認証の攻撃者がデフォルトの認証クライアントを悪用し、十分な検証を経ていない特定の機能に細工した入力を送り込むことで、任意コード実行を達成できる。攻撃には特権を必要とせず、複雑さも低いため、脆弱なシステムを持つ企業にとって極めて深刻なリスクとなっている。
脅威インテリジェンス企業Defusedは、自社のハニーポットに対してCVE-2026-58231を狙った最初の悪用試行が「パッチ公開日から3日後」に検知されたと報告した。この時点で本脆弱性の公開PoC(概念実証コード)は存在しておらず、攻撃者が独自にエクスプロイトを開発した可能性が高いとみられている。
技術的な詳細
SAPは2026年8月11日の月例パッチデー(August Patch Day)において、セキュリティノート#3771065を通じてCVE-2026-58231の修正を公開した。脆弱性はData Hub Adapter拡張機能の認可処理に存在し、デフォルトで設定されている認証クライアントを悪用することで、未認証のリモート攻撃者が内部コンポーネントを侵害し任意コードを実行できてしまう。SAPはこの脆弱性を最大深刻度であるCVSS 10.0と評価しており、対象顧客およびパートナーに対して「直ちにシステムにパッチを適用する」よう強く呼びかけている。
インターネットに公開されたSAP Commerce Cloudインスタンスの実態調査を行うShadowserverによれば、脆弱性の影響を受けうる公開インスタンスは4,200件以上確認されており、その多くは欧州および北米に集中しているという。パッチが公開されてから攻撃が観測されるまでの期間がわずか3日と極めて短かったことは、攻撃者側の脆弱性解析・武器化の速度が年々向上していることを改めて示す事例といえる。
今後の対応
現時点で公開されたPoCは確認されていないものの、既に実際の攻撃が観測されている以上、パッチ未適用の環境は速やかにリスクにさらされる可能性が高い。SAP Commerce Cloudを運用する企業は、SAPのセキュリティノート#3771065の内容を確認し、対象拡張機能の適用状況を点検した上で、至急アップグレードを実施することが強く推奨される。あわせて、インターネットに公開されたインスタンスの棚卸しや、Data Hub Adapterへのアクセス制御の見直しも合わせて検討すべきだろう。