OWN NEWS GATHER
← 戻る
The Hacker News

SAP Commerce Cloudに最大深刻度「CVSS 10.0」の脆弱性、パッチ公開からわずか3日で悪用試行を観測

要点

  • SAPのコマース基盤「SAP Commerce Cloud」において、最大深刻度であるCVSSスコア10.0の脆弱性「CVE-2026-58231」が確認された。

  • 認証を受けていない外部の攻撃者が細工した入力を送信することで、任意のコード実行や内部コンポーネントの侵害が可能になる。

  • 脅威インテリジェンス企業などの調査により、修正パッチが提供されてからわずか3日後にハニーポット等で実際の攻撃試行が検知された。

  • 恒久対策には修正版のビルドおよび再デプロイが必要とされており、暫定的な緩和策としてIPフィルターの適用が推奨されている。

  • エンタープライズ向けコマース基盤「SAP Commerce Cloud」において、共通脆弱性評価システム（CVSS）で最高値の10.0と評価された深刻な脆弱性「CVE-2026-58231」に対する悪用試行が始まっていることが明らかになった。複数のセキュリティ調査機関が報告したもので、修正プログラムがリリースされてからわずか数日という極めて早い段階で攻撃の兆候が捉えられている。

脆弱性「CVE-2026-58231」の仕組みと影響範囲

今回確認された「CVE-2026-58231」は、認可チェックの不備および入力検証の不足に起因する脆弱性である。

CVE.orgの公開情報によると、SAP Commerce Cloud環境において認証を受けていない攻撃者がデフォルトの認証クライアントを悪用し、十分な検証処理が行われていない特定の機能に対して悪意ある細工を施した入力を送信できる状態になっていたという。

この欠陥が悪用された場合、遠隔から任意のコードを実行（RCE）されたり、システム内部のコンポーネントを侵害されたりするおそれがある。その結果として、アプリケーションの機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）のすべてに対して極めて重大な影響を及ぼす可能性があると警告されている。

パッチ公開から数日で攻撃を検知、複数機関が確認

セキュリティ企業各社の観測によると、この脆弱性を狙った攻撃活動は修正パッチが提供された直後から始まっていた。

脅威インテリジェンス企業であるDefused Cyberは、パッチの公開からわずか3日後に、同社が運用するハニーポット（攻撃をおびき寄せて挙動を観察・分析するためのおとりシステム）に対してCVE-2026-58231を標的とした攻撃の試みが着信し始めたことを報告した。同社が金曜日にソーシャルメディア「X」へ投稿した内容によると、当時は公開されたPoC（概念実証コード）が存在せず、悪用の事実も一般には知られていない段階での観測だったという。

さらに、脅威情報プラットフォームのKEVIntelも独自に悪用試行を確認したと発表している。同社のデータによると、8月14日に米国に所在する単一のIPアドレスから2件の攻撃試行が検出されたことが記録されている。

推奨される対処法と暫定的な回避策

SAP関連のセキュリティを手がけるOnapsisは今週初めの段階で、この欠陥が悪用された場合の危険性について改めて言及し、利用者に対して迅速な対応を求めている。

Onapsisによると、影響を受ける利用者はセキュリティノートに記載されている修正済みのリリースレベルへとパッチを適用した上で、更新されたバージョンのSAP Commerce Cloudを再ビルドし、再デプロイする必要があるという。

また、恒久的な修正作業を完了するまでの暫定的な緩和策として、SAP Commerce Cloud内で「IP Filter Set」を設定し、脆弱性が存在するエンドポイントへのアクセス元IPアドレスを制限することで、外部からの露出リスクを低減できると説明している。

過去のSAP製品を狙ったサイバー攻撃の背景

現時点において、今回のCVE-2026-58231を狙った悪用試行を主導している具体的な攻撃者グループやその背後関係については特定されていない。

ただし、過去に発生したSAP製品の脆弱性をめぐっては、国家主導のサイバースパイ組織や金銭目的のサイバー犯罪者によって迅速に兵器化された前例が複数存在する。たとえば、SAP NetWeaverなどに影響を与えた重大な脆弱性「CVE-2025-31324」では、中国との関連が指摘される「UNC5221」「UNC5174」「CL-STA-0048」といった脅威グループや、「BianLian」「RansomExx」などのランサムウェア・サイバー犯罪グループが悪用に関与したことが記録されている。

また2025年4月には、正体不明の脅威アクターが同じSAP NetWeaverの脆弱性を悪用し、米国の化学メーカーを標的とした攻撃において「Auto-Color」と呼ばれるバックドア（不正侵入後に外部から遠隔操作するための裏口プログラム）を設置していた事例も観測されている。

元URL