SAP Commerce Cloudの脆弱性 CVE-2026-58231が公開3日後にサイバー攻撃への試行を確認 CVSS 10.0で認証不要のRCEリスク|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月19日更新日時: 2026年08月19日

SAP Commerce CloudのData Hub Adapterに存在する脆弱性「CVE-2026-58231」を悪用しようとする通信が、修正情報の公開から3日後に確認されました。

SAPは2026年8月11日のSecurity Patch Dayで、認証なしの攻撃者が任意コード実行へ到達する可能性があるとして、SAP Security Note 3771065を公開しました。脅威インテリジェンス企業Defusedは8月14日、同社のハニーポットに最初の悪用試行が到達したと報告。KEV Intelligenceも独自センサーで悪用試行を確認しています。

ただし、確認されているのはハニーポットなどに対する攻撃通信です。本番環境への侵害成功や情報流出、攻撃者、最終的な攻撃目的は確認されていません。本脆弱性は修正情報の公開後に攻撃が観測されているため、ゼロデイ脆弱性とは位置付けられません。

CVE-2026-58231のサマリー

CVE-2026-58231は、SAP Commerce CloudのData Hub Adapterにおける認可不備と入力検証不足の脆弱性です
SAPは2026年8月11日、SAP Security Note 3771065で修正情報を公開しました
深刻度はCritical、CVSS v3.1の基本値は最大の10.0です
攻撃に認証情報やユーザー操作は必要ありません
悪用に成功すると、任意コード実行や内部コンポーネントの侵害につながる可能性があります
影響を受ける製品系列はCOM_CLOUD 2211と2211-JDK21です
修正版としてSAP Commerce Cloud 2211.55、2211-jdk21.17、またはそれ以降の対応リリースが案内されています
更新後は、修正版を組み込んだ環境の再ビルドと再デプロイが必要です
Defusedは8月14日、修正情報の公開から3日後にハニーポットへの悪用試行を確認しました
KEV Intelligenceも独自センサーで悪用試行を確認し、8月15日には公開PoCの出現を記録しています
本稿執筆時点で、CISAのKnown Exploited Vulnerabilities（KEV）カタログには掲載されていません
本番環境への侵害成功、被害組織、攻撃者、マルウェア、公開IOCは確認できませんでした

項目	内容
CVE番号	CVE-2026-58231
対象製品	SAP Commerce Cloud（Data Hub Adapter）
脆弱性	認可不備と入力検証不足。CVEレコードのCWEはCWE-94
深刻度	Critical
CVSS v3.1	10.0（AV/AC/PR/UI/S/C/I/A）
攻撃条件	ネットワーク経由、認証不要、ユーザー操作不要
想定される影響	任意コード実行、内部コンポーネントの侵害、機密性・完全性・可用性への重大な影響
影響を受ける系列	COM_CLOUD 2211、2211-JDK21
修正版	SAP Commerce Cloud 2211.55、2211-jdk21.17、またはそれ以降の対応リリース
SAP Security Note	3771065
SAP公表日	2026年8月11日
悪用状況	8月14日からハニーポット等への悪用試行をDefusedとKEV Intelligenceが確認
攻撃成功・被害	確認できませんでした
PoC	KEV Intelligenceが8月15日に公開PoCの出現を記録
CISA KEV	2026年8月17日時点で未掲載
IOC	IPアドレスやマルウェアなどの公開情報は確認できませんでした
暫定回避策	IP Filter Setにより、影響を受ける機能へのアクセスを信頼できる送信元に制限

SAP Commerce CloudのData Hub Adapterに認可不備

CVE-2026-58231は、SAP Commerce CloudのData Hub Adapterに存在する認可不備です。SAPのCVEレコードによると、認証されていない攻撃者が既定の認証クライアントを悪用し、十分な入力検証が行われていない機能へ細工した入力を送信できる可能性があります。

悪用に成功すると、SAP Commerce Cloudの実行環境で任意のコードを実行し、内部コンポーネントを侵害する恐れがあります。機密性、完全性、可用性のすべてが「High」と評価され、CVSS v3.1は10.0です。

攻撃経路はネットワーク経由で、攻撃の複雑さは低く、事前のアカウント取得や利用者の操作も必要ありません。Data Hub Adapterが外部から到達可能な環境では、通常の月例更新ではなく、緊急対応の対象として扱う必要があります。

影響バージョンと修正版

SAPの2026年8月Security Patch Dayでは、次の製品系列が影響対象として示されています。

影響を受ける製品系列	修正版
COM_CLOUD 2211	SAP Commerce Cloud 2211.55以降の対応リリース
COM_CLOUD 2211-JDK21	SAP Commerce Cloud 2211-jdk21.17以降の対応リリース

SAP Security Note 3771065の詳細はSAP顧客・パートナー向けポータルで提供されています。修正バージョンは、フランス政府系の医療・保健分野向けサイバー脅威情報サイトCyberveille、SAPセキュリティ企業Onapsisなども案内しています。

Onapsisによると、更新ファイルを取得するだけでは対応が完了しません。修正版へ更新したSAP Commerce Cloudを再ビルドし、対象環境へ再デプロイする必要があります。管理画面上の設定や更新予定だけで判断せず、実際に稼働している本番・検証環境のリリースを確認することが重要です。

セキュリティ対策Labでは、2026年5月に修正された別のSAP Commerce Cloud脆弱性についても整理しています。今回のCVE-2026-58231とは別の脆弱性ですが、同じCOM_CLOUD 2211系列を利用する組織は、過去の更新漏れがないか併せて確認する必要があります。

公開から3日後にハニーポットへの悪用試行

SAPが修正情報を公開したのは2026年8月11日です。Defusedは8月14日、CVE-2026-58231を悪用しようとする最初の通信が同社のハニーポットへ到達したと公表しました。修正情報の公開から3日後に当たります。

Defusedが観測した時点では、一般公開されたPoCや、それ以前の実環境での悪用報告は確認されていませんでした。このことから、攻撃者がSAPの修正内容や公開情報を分析して攻撃手法を独自に作成した可能性はありますが、具体的な開発経路は分かっていません。

KEV Intelligenceも、独自センサーとプライベートハニーポットを通じて悪用試行を確認しました。同サービスは悪用開始日を8月14日とし、8月15日にはPoCが公開されたと記録しています。

一方、ハニーポットへの攻撃通信は「脆弱性を悪用しようとする活動」が存在することを示しますが、攻撃が本番環境で成功した証拠ではありません。情報窃取、システム改ざん、マルウェア設置などの被害は公表されておらず、SAPもBleepingComputerへの回答で、報告を認識して調査していると説明するにとどまっています。

CISA KEVには未掲載、公開PoCは確認

2026年8月17日時点で、CVE-2026-58231はCISAのKEVカタログに掲載されていません。CISA KEVへの未掲載は、悪用が存在しないことを意味するものではありません。CISAが掲載判断に必要な証拠を確認するまで時間差が生じる場合があります。

一方、KEV Intelligenceは公開PoCの存在を記録しています。公開PoCは検証や防御研究にも利用されますが、攻撃者が悪用機能を実装するまでの時間を短縮する可能性があります。すでにハニーポットで悪用試行が確認されているため、CISA KEVへの追加を待って対応を開始する状況ではありません。

なお、本件について公開されている情報だけでは、攻撃元IPアドレス、攻撃後に使用されるマルウェア、ファイルハッシュ、通信先ドメインなどのIOCを確認できませんでした。特定のIOCとの一致だけで安全性を判断せず、バージョンと外部公開状況を基準に対応する必要があります。

更新までの暫定回避策

Onapsisは、直ちに更新できない場合の一時的な対策として、SAP Commerce CloudのIP Filter Setを設定し、影響を受ける機能へのアクセスを信頼できる送信元に限定する方法を案内しています。

ただし、これは外部からの到達可能性を下げるための暫定措置です。設定ミス、信頼済みネットワークの侵害、別経路からのアクセスまでは解消できません。最終的にはSAP Security Note 3771065に従って修正版へ更新し、再ビルド・再デプロイする必要があります。

更新が完了するまでの間は、次の措置を組み合わせます。

Data Hub Adapterの外部公開状況と接続元を確認する
IP Filter Setやネットワーク制御で、業務上必要な送信元だけを許可する
WAF、リバースプロキシ、アプリケーションログの保存期間を延長する
影響を受ける機能への通常と異なるリクエストを監視する
緊急更新の変更管理と、再ビルド・再デプロイ後の動作確認手順を準備する

侵害有無を確認する際のポイント

SAP、Defused、KEV Intelligenceは、本件固有の攻撃元IPアドレスやマルウェアのIOCを公開していません。そのため、情報システム部門は特定のIPアドレスとの一致だけではなく、Data Hub Adapterと周辺環境の挙動を確認する必要があります。

2026年8月11日以前を含むアクセスログを保全し、影響を受ける機能への不審な通信を調査する
SAP Commerce Cloud上のファイル、設定、アプリケーションコンポーネントに未承認の変更がないか確認する
通常とは異なるプロセス実行、子プロセス、外部通信、認証情報へのアクセスを確認する
Commerce Cloudから内部システムや連携先への異常なアクセスがないか調査する
不審な挙動が確認された場合は、環境を隔離して証拠を保全し、関連する認証情報やシークレットの変更を検討する

パッチ適用は今後の悪用を防ぐ措置であり、過去の侵害を取り消すものではありません。外部公開された脆弱な環境が存在した場合は、更新と侵害調査を並行して実施する必要があります。

情報システム部門への示唆

CVE-2026-58231では、修正情報の公開から悪用試行の確認まで3日しかありませんでした。SAP Commerce Cloudのような事業に直結するインターネット公開システムでは、月次の定例パッチ日まで待つ運用では対応が間に合わない可能性があります。

情報システム部門は、CVSSだけでなく、認証の要否、外部公開状況、PoCの有無、攻撃観測を組み合わせて優先順位を決める必要があります。本件はCVSS 10.0、認証不要、ユーザー操作不要、公開PoCあり、悪用試行ありという条件が重なっており、最優先で対応すべき脆弱性です。

また、クラウド製品であっても、ベンダーが基盤へ修正を適用すれば顧客側の作業が完了するとは限りません。今回は修正版を取り込んだアプリケーションの再ビルドと再デプロイが求められています。責任分界を確認し、次の項目を運用手順へ組み込む必要があります。

SAP Security Noteを受信・評価する担当者と代替要員
緊急更新時に通常の変更審査を短縮できる承認経路
本番、検証、災害復旧環境を含む稼働バージョンの確認
再ビルド・再デプロイが必要な更新を見落とさないチェック項目
更新前後の侵害調査とログ保全
EC停止や連携障害が発生した場合の事業継続手順

過去にはSAP NetWeaverのCVE-2025-31324がゼロデイ攻撃で悪用され、CISA KEVへ追加されました。今回のCVE-2026-58231は同一の製品・脆弱性ではありませんが、SAP環境が国家関与型の攻撃者やサイバー犯罪者から継続的に注目されていることを踏まえ、公開資産の把握と緊急パッチ運用を整備する必要があります。