Ir para conteúdo

Alerta de Vulnerabilidade - Data Hub Adapter (SAP Commerce Cloud)

18 Aug 2026

Alerta de Vulnerabilidade - Data Hub Adapter (SAP Commerce Cloud)

TIPO
Vulnerabilidade
SISTEMAS AFETADOS
SAP Commerce Cloud
ECOSSISTEMA
Outro
CVSS v3.1 - Resumo Técnico CVSS: 10.0 / 10 - Crítico
CVE CVE-2026-58231
Vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Vetor de Ataque Rede Explorável remotamente através da rede
Complexidade Baixa Baixa complexidade de exploração
Privilégios Nenhum Sem autenticação
Interação Nenhuma Não requer intervenção do utilizador
Âmbito Alterado O impacto ultrapassa o âmbito de segurança do componente vulnerável, atingindo componentes internos do sistema
Impacto na Confidencialidade Alto Impacto elevado na confidencialidade
Impacto na Integridade Alto Impacto elevado na integridade
Impacto na Disponibilidade Alto Impacto elevado na disponibilidade
Resumo Vulnerabilidade de severidade crítica (CVSS 10.0), identificada como CVE-2026-58231, de injeção de código (CWE-94) no Data Hub Adapter do SAP Commerce Cloud. Um atacante remoto não autenticado pode abusar de um cliente de autenticação predefinido e submeter input especialmente manipulado a funções sem validação suficiente, resultando em execução de código arbitrário e comprometimento de componentes internos, com impacto elevado na confidencialidade, integridade e disponibilidade. Afeta o SAP Commerce Cloud COM_CLOUD 2211 e 2211-JDK21. Foram reportadas tentativas de exploração contra honeypots poucos dias após a divulgação. Correção através da SAP Security Note 3771065, com necessidade de reconstrução e redeploy da aplicação.

Descrição
Vulnerabilidade de injeção de código (CWE-94) no Data Hub Adapter do SAP Commerce Cloud, com o identificador CVE-2026-58231/EUVD-2026-55999 [1][2]. O Data Hub Adapter é uma extensão do SAP Commerce Cloud utilizada para integração e importação de dados entre sistemas. A vulnerabilidade resulta de um cliente de autenticação predefinido que permite a um atacante não autenticado submeter dados manipulados a funções sem validação suficiente, possibilitando a execução arbitrária de código [1][2].

São afetadas as versões COM_CLOUD 2211 e 2211-JDK21 [1]. A correção está disponível na nota de segurança SAP 3771065, publicada a 11 de agosto de 2026 [1][3]. A aplicação da correção exige não só a instalação da nota, mas também a reconstrução e reimplementação da instância SAP Commerce Cloud [3][4].

Impacto
A exploração é remota e não requer autenticação, privilégios nem interação do utilizador. O atacante submete pedidos especialmente construídos ao endpoint do Data Hub Adapter para injetar e executar código arbitrário. O âmbito do impacto estende-se para além do serviço vulnerável, comprometendo componentes internos da aplicação [1][2].

Resolução
Recomenda-se a aplicação imediata da nota de segurança SAP 3771065, seguida obrigatoriamente da reconstrução e reimplementação da instância SAP Commerce Cloud, sem o que a correção não produz efeito [3][4].

Medidas adicionais recomendadas:
  • Como mitigação temporária, enquanto a atualização não puder ser aplicada, configurar um IP Filter Set no SAP Commerce Cloud para restringir o acesso ao endpoint do Data Hub Adapter a sistemas autorizados [3][4];
  • Analisar os logs de acesso ao endpoint do Data Hub Adapter de forma a identificar possíveis pedidos anómalos [4];
  • Verificar a exposição da interface do Data Hub Adapter à Internet e limitar o acesso a endereços IP de sistemas de integração conhecidos [3].
Referências
[1] - https://nvd.nist.gov/vuln/detail/CVE-2026-58231
[2] - https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-55999
[3] - https://www.bleepingcomputer.com/news/security/max-severity-sap-commerce-cloud-flaw-now-targeted-in-attacks/
[4] - https://thehackernews.com/2026/08/sap-commerce-cloud-cve-2026-58231.html
Última atualização em 07-09-2022