Falla de Severidad Máxima en SAP Commerce Cloud (CVE-2026-58231, CVSS 10.0) Bajo Ataque a los Tres Días del Parche

CVE-2026-58231 es una vulnerabilidad de autorización indebida de severidad máxima en el Data Hub Adapter de SAP Commerce Cloud, y ya está siendo sondeada activamente — los atacantes golpearon honeypots con intentos de explotación apenas tres días después de que SAP publicara el parche.

La puntuación es 10.0 sobre 10 en CVSS 3.1, el tope de la escala. SAP Commerce Cloud permite que un atacante sin autenticar abuse de un cliente de autenticación predeterminado integrado en el Data Hub Adapter y envíe entradas especialmente manipuladas a funciones que no las validan correctamente, lo que resulta en ejecución de código arbitrario. Sin credenciales, sin interacción del usuario, sin acceso previo al entorno objetivo — solo alcance de red hasta una instancia expuesta. Esa combinación es lo que hace que una falla de esta severidad resulte atractiva para el escaneo oportunista a los pocos días de la divulgación, no semanas después.

Todavía no circula ningún exploit de prueba de concepto público, y los investigadores no han confirmado compromisos exitosos — lo observado hasta ahora son intentos de explotación golpeando honeypots, lo que significa que los atacantes están escaneando y sondeando activamente instancias vulnerables, no necesariamente teniendo éxito todavía contra sistemas de producción. Esa ventana no permanecerá abierta mucho tiempo. Prácticamente toda RCE de SAP con divulgación pública y sin PoC ha terminado teniendo uno en una a tres semanas, históricamente, y actividad de honeypot tan temprana es una señal fuerte de que ya existe una cadena de exploit funcional en algún lugar.

La superficie afectada son los despliegues de SAP Commerce Cloud 2211 que ejecutan el Data Hub Adapter, común en implementaciones de comercio minorista y B2B que sincronizan datos de producto, precio y pedidos entre SAP Commerce y sistemas externos. SAP publicó el parche como Security Note 3771065.

Qué hacer ahora: aplicar la Security Note 3771065 de inmediato si aún no se hizo, y luego volver a desplegar la aplicación corregida — parchear la plataforma subyacente sin redesplegar la aplicación en ejecución no cierra el hueco, ya que la ruta de código vulnerable vive en la propia aplicación Commerce desplegada. Después del redespliegue, verificar que el entorno en ejecución realmente refleje la versión corregida en lugar de asumir que el parche se aplicó; los entornos SAP con múltiples slots de despliegue o lanzamientos escalonados son el lugar más común donde este paso se pasa por alto. Si tu instancia del Data Hub Adapter está expuesta a internet y no puedes confirmar ahora mismo que el parche está activo, trátala como comprometida hasta demostrar lo contrario y retírala de la red pública mientras verificas.

Fuentes

Lecturas relacionadas