Una falla con il punteggio massimo di gravità, 4.200 sistemi esposti su internet e un vendor che per giorni non ha aggiornato il proprio bollettino ufficiale. È il quadro tracciato dal Cyber Brief 26-09 pubblicato il 3 settembre 2026 da CERT-EU, che ha acceso i riflettori su una vulnerabilità critica in SAP Commerce Cloud, la piattaforma di e-commerce enterprise usata da migliaia di aziende in Europa e Nord America. La falla, identificata come CVE-2026-58231, permette l’esecuzione di codice da remoto senza autenticazione e viene sfruttata attivamente da metà agosto, molto prima che il pubblico ne venisse informato in modo esplicito.
Il caso è interessante non tanto per la tecnica in sé, quanto per la sequenza temporale: SAP ha corretto il difetto a luglio, gli attacchi sono iniziati tre giorni dopo la pubblicazione della patch, e solo a metà agosto la società di threat intelligence Defused ha confermato lo sfruttamento in corso. Nel mezzo, migliaia di negozi online e sistemi di gestione ordini sono rimasti esposti senza che i loro amministratori sapessero di correre un rischio reale.
Cosa è successo: la falla CVE-2026-58231 in dettaglio
Al centro della vicenda c’è il Data Hub Adapter, un’estensione di SAP Commerce Cloud che gestisce l’integrazione e il flusso dei dati tra i vari moduli della piattaforma. Il problema nasce da un client di autenticazione predefinito lasciato attivo insieme a controlli di autorizzazione insufficienti: un aggressore non autenticato può inviare richieste appositamente costruite a funzioni del Data Hub Adapter che non validano correttamente l’input, ottenendo così l’esecuzione arbitraria di codice sul server.
SAP e i database di vulnerabilità hanno assegnato a CVE-2026-58231 un punteggio CVSS di 10.0, il massimo della scala. Non è un dettaglio da poco: un punteggio simile indica che la falla è sfruttabile da remoto, senza credenziali, senza interazione dell’utente e con un impatto totale su riservatezza, integrità e disponibilità del sistema. Le organizzazioni che seguono la classificazione OWASP Top 10 riconosceranno lo schema: autenticazione debole combinata a controlli di accesso mancanti è esattamente il tipo di accoppiata che porta ai disastri peggiori, un tema che avevamo già affrontato nella nostra guida sulla remediation OWASP Top 10:2025.
Il Data Hub Adapter non è un componente marginale. Serve a sincronizzare cataloghi prodotto, ordini e dati cliente tra il core di Commerce Cloud e sistemi esterni, il che significa che un attaccante che ottiene l’esecuzione di codice su quel livello ha potenzialmente accesso non solo al server compromesso, ma a tutta la catena di integrazione a valle: gestionali, magazzini, CRM.
La cronologia: dalla patch di luglio allo sfruttamento attivo
Ricostruire la sequenza degli eventi aiuta a capire quanto velocemente si sia mossa la parte offensiva rispetto a quella difensiva. SAP ha incluso la correzione per il Data Hub Adapter nel Security Patch Package di luglio 2026, insieme ad altri aggiornamenti per NetWeaver Application Server, SAP Approuter e diversi moduli S/4HANA. Fin qui, la procedura standard.
Il problema è iniziato quando la società di threat intelligence Defused ha rilevato, tramite le proprie honeypot, i primi tentativi di sfruttamento di CVE-2026-58231 già il 14 agosto 2026, appena tre giorni dopo il rilascio della patch. Questo tipo di finestra ristretta è ormai la norma nel panorama delle vulnerabilità critiche: gli attaccanti confrontano gli aggiornamenti pubblicati con le versioni precedenti (un processo noto come patch diffing) per ricostruire l’exploit in poche ore. Il 20 agosto 2026 un ulteriore advisory di Integrity360 ha confermato che i tentativi di exploit proseguivano, descrivendo la falla come sotto attacco attivo a pochi giorni dal rilascio dell’aggiornamento di sicurezza.
Un dettaglio che gli analisti hanno criticato riguarda la comunicazione di SAP: secondo quanto riportato a metà agosto, l’azienda non aveva ancora aggiornato il proprio bollettino ufficiale per segnalare che la vulnerabilità era sfruttata attivamente, nonostante Defused avesse già raccolto prove concrete. Per i team di sicurezza che si affidano ai flag “exploited in the wild” per stabilire le priorità di patching, questo scollamento tra realtà osservata e comunicazione ufficiale ha un costo diretto: sistemi lasciati vulnerabili più a lungo del necessario.
Il 3 settembre 2026 CERT-EU ha formalizzato la questione nel proprio Cyber Brief 26-09, portando il caso all’attenzione delle istituzioni europee e confermando la cifra chiave dell’intera vicenda: oltre 4.200 istanze di SAP Commerce Cloud raggiungibili da internet, censite dal progetto di scansione Shadowserver, concentrate soprattutto in Europa e Nord America.
4.200 istanze esposte: cosa significa in pratica
Il numero di 4.200 sistemi individuati da Shadowserver rappresenta le installazioni di SAP Commerce Cloud identificabili tramite fingerprint pubblico, non necessariamente tutte vulnerabili: alcune potrebbero già avere applicato la patch di luglio. Ma è proprio questa ambiguità a preoccupare gli esperti, perché nessuna fonte pubblica ha ancora fornito un conteggio affidabile di quante di queste istanze restino effettivamente senza patch, né una ripartizione precisa per singolo paese europeo, Italia inclusa.
Quello che è certo è il profilo delle vittime potenziali: aziende che gestiscono negozi online enterprise, spesso con volumi di transazioni significativi, che si affidano a Commerce Cloud proprio per la sua capacità di reggere carichi elevati e integrarsi con sistemi di magazzino e logistica complessi. Un compromesso su questi sistemi non riguarda solo il defacement di una vetrina digitale: significa accesso potenziale a cronologie ordini, dati anagrafici dei clienti e, a seconda della configurazione, ai flussi che alimentano i sistemi di pagamento a valle.
Va sottolineato che nessuna fonte verificata ha finora pubblicato un elenco di vittime confermate o un conteggio di incidenti realmente avvenuti collegati a questa falla specifica: la situazione, al momento della pubblicazione di questo articolo, resta descritta in termini di rischio e di tentativi di sfruttamento osservati sulle honeypot, non di violazioni certificate su singole aziende.
Non è un caso isolato: altre falle in SAP Commerce Cloud nel 2026
CVE-2026-58231 non arriva da sola. Nel corso del 2026 SAP Commerce Cloud ha accumulato una serie di avvisi che, letti insieme, disegnano un pattern ricorrente di problemi di autenticazione e controllo degli accessi:
- CVE-2026-44769, registrata il 14 luglio 2026: un client OAuth2 di esempio con credenziali documentate pubblicamente, che permette a un aggressore non autenticato di ottenere token di accesso e manipolare i dati.
- L’advisory NCSC-2026-0140 (1 maggio 2026, aggiornato il 25 luglio): un errore di configurazione in Spring Security che consente il caricamento di configurazioni malevole e l’esecuzione di codice lato server senza autenticazione.
- NCSC-2026-0302 (1 agosto 2026, aggiornato il 16 agosto): descrive esattamente lo stesso schema di CVE-2026-58231, esecuzione di codice arbitrario tramite client di autenticazione predefinito nel Data Hub Adapter.
- CVE-2026-2332, inclusa nel pacchetto di aggiornamenti di settembre 2026 (SAP Note 3791068): un’iniezione CRLF nei componenti Jetty del modulo Search and Navigation, con priorità alta ma non critica.
Il filo conduttore è chiaro: client di autenticazione lasciati con configurazioni di default, credenziali di esempio non rimosse in produzione, controlli di autorizzazione che non coprono tutti i percorsi di accesso. Sono esattamente le categorie di errore che l’OWASP colloca tra le prime cause di violazione nelle applicazioni enterprise, e che avevamo già analizzato parlando di altre falle CVSS 10.0 comparse quest’anno, come quella di Azure SQL Database o quella del motore di analisi Metabase.
Confronto con altre falle critiche del 2026: un anno di CVSS 10.0
Il 2026 è stato prodigo di vulnerabilità con il punteggio massimo di gravità, e mettere CVE-2026-58231 a confronto con i casi precedenti aiuta a valutarne la reale portata. La tabella seguente riassume le falle CVSS 10.0 o quasi-massime più rilevanti emerse quest’anno su piattaforme enterprise ampiamente diffuse in Europa.
| Vulnerabilità | Prodotto | CVSS | Istanze esposte | Sfruttamento attivo |
|---|---|---|---|---|
| CVE-2026-58231 | SAP Commerce Cloud (Data Hub Adapter) | 10.0 | 4.200+ globali | Sì, da metà agosto 2026 |
| CVE-2026-56162 | Azure SQL Database | 10.0 | Non divulgato | Non confermato pubblicamente |
| CVE-2026-72898 | Metabase | 10.0 | Migliaia (stimate) | Sì |
| CVE-2026-59310 | VMware vCenter | Alta (non 10.0) | 361 server in 47 paesi | Sì |
| CVE-2026-63077 | JetBrains TeamCity | 9,8 | Non quantificato | Sì, supply chain |
Quello che distingue il caso SAP dagli altri non è solo il punteggio di gravità, condiviso con Azure SQL Database e Metabase, ma la combinazione tra superficie di attacco (migliaia di installazioni internet-facing), criticità del dato trattato (transazioni e-commerce) e la finestra di sfruttamento particolarmente breve, appena tre giorni dalla patch al primo attacco osservato. È un tempo di reazione che lascia pochissimo margine ai team IT che non dispongono di processi di patch management automatizzati.
Il contesto europeo: perché CERT-EU se ne occupa
Il fatto che CERT-EU, l’organismo che coordina la risposta agli incidenti informatici per le istituzioni dell’Unione Europea, abbia dedicato spazio alla vicenda nel proprio Cyber Brief 26-09 non è casuale. SAP è tra i fornitori software più diffusi nella pubblica amministrazione e nella grande industria europea, e Commerce Cloud in particolare viene adottato da retailer, utility e gruppi manifatturieri per gestire le proprie vetrine digitali B2B e B2C.
Il documento CERT-EU arriva peraltro in un momento di attenzione crescente verso la sicurezza delle catene di fornitura software in Europa, un tema che avevamo già trattato a proposito del catalogo CISA KEV di agosto 2026 e delle falle aggiunte in rapida successione dall’agenzia americana. La differenza qui è che l’allerta parte dal lato europeo, un segnale di come gli enti del continente stiano sviluppando capacità di analisi delle minacce sempre più autonome rispetto alle fonti statunitensi.
Per le aziende italiane che utilizzano SAP Commerce Cloud, il messaggio pratico è duplice: primo, verificare subito lo stato delle patch applicate ai propri ambienti, sia cloud-hosted sia on-premise; secondo, non fidarsi ciecamente dello stato “non ancora segnalato come sfruttato” nei bollettini ufficiali dei vendor, perché come dimostra questo caso il ritardo comunicativo può superare le due settimane rispetto all’inizio effettivo degli attacchi.
L’impatto sul mercato: fiducia, e-commerce e costi di risposta
Dal punto di vista del mercato, episodi come questo alimentano un trend che gli analisti di sicurezza osservano da tempo: le piattaforme enterprise di grandi dimensioni, proprio per la loro complessità architetturale fatta di adapter, moduli e integrazioni multiple, tendono ad accumulare superfici di attacco che nessun singolo aggiornamento riesce a chiudere del tutto. Le quattro vulnerabilità SAP Commerce Cloud emerse nel solo 2026, da maggio a settembre, lo confermano.
Per i retailer che dipendono da questa piattaforma, il rischio economico non si limita al singolo incidente. Un’interruzione del servizio e-commerce durante una finestra di attacco può tradursi in perdita diretta di fatturato, mentre un’eventuale violazione confermata dei dati clienti aprirebbe scenari di notifica obbligatoria secondo il GDPR e potenziali sanzioni del Garante Privacy, sullo stile di quanto già accaduto con il caso WINDTRE multato per falle nelle API a luglio 2026. Anche senza una violazione confermata, il solo fatto di dover comunicare pubblicamente l’esposizione a una falla CVSS 10.0 ha un costo reputazionale che si somma a quello puramente tecnico del patching d’emergenza.
C’è poi un effetto a cascata sul comparto della sicurezza gestita: le società di consulenza e i MSSP che seguono clienti su SAP Commerce Cloud si trovano a dover gestire in parallelo audit di configurazione, verifica dei log di accesso storici e implementazione di mitigazioni temporanee, un carico di lavoro che si aggiunge a quello già generato da altre falle critiche emerse nelle stesse settimane, come il caso N-able N-central che avevamo già coperto in relazione al catalogo CISA KEV.
Come rilevare un tentativo di sfruttamento
Le linee guida diffuse dai team di threat intelligence che seguono il caso indicano alcuni segnali da cercare nei log del Data Hub Adapter e del server applicativo Commerce Cloud. Non sostituiscono un’analisi forense completa, ma offrono un primo filtro per capire se un’istanza sia stata presa di mira.
- Richieste anomale verso gli endpoint del Data Hub Adapter provenienti da indirizzi IP esterni non riconducibili a integrazioni note.
- Tentativi di autenticazione che utilizzano il client predefinito o credenziali di esempio mai sostituite dopo l’installazione.
- Processi figlio inattesi generati dal servizio applicativo Commerce Cloud, indicatore tipico di esecuzione di codice riuscita.
- Picchi di traffico in uscita verso destinazioni non abituali, segno di possibile esfiltrazione successiva alla compromissione.
- Modifiche non programmate a configurazioni di sincronizzazione dati tra Commerce Cloud e sistemi esterni collegati.
Per chi gestisce architetture SIEM interne, integrare questi indicatori con le fonti già monitorate segue la stessa logica descritta nella nostra guida su come monitorare il catalogo CISA KEV con Python: automatizzare la raccolta di indicatori di compromissione riduce il tempo tra pubblicazione dell’advisory e verifica sui propri sistemi, che nel caso SAP si è dimostrato il fattore critico.
Contesto storico: perché il Data Hub Adapter è un bersaglio ricorrente
Il Data Hub Adapter non è nuovo alle cronache della sicurezza SAP. Nel corso degli ultimi anni componenti di integrazione simili, pensati per collegare Commerce Cloud a sistemi ERP, gestionali di magazzino e piattaforme di pagamento, sono stati oggetto ricorrente di avvisi proprio perché si trovano all’incrocio tra più domini di autenticazione. Ogni volta che un adapter deve fidarsi di un sistema esterno, la tentazione di semplificare i controlli di accesso per garantire compatibilità cresce, ed è esattamente lì che si annidano falle come CVE-2026-58231 e la precedente CVE-2026-44769 legata al client OAuth2 di esempio.
Il parallelo con altri episodi di supply chain enterprise è utile: proprio come nel caso dell’attacco alla catena di fornitura di crates.io, dove un singolo pacchetto compromesso ha avuto un impatto sproporzionato per la sua posizione centrale nell’ecosistema Rust, un adapter di integrazione come quello di SAP Commerce Cloud rappresenta un punto di leva che moltiplica l’impatto di una singola falla su tutta la rete di sistemi collegati.
Cosa devono fare ora le aziende che usano SAP Commerce Cloud
Le raccomandazioni operative diffuse dai vari advisory possono essere sintetizzate in una checklist pratica, valida sia per gli ambienti hosted da SAP sia per quelli on-premise gestiti internamente.
| Azione | Priorità | Tempo stimato | Note |
|---|---|---|---|
| Verificare la versione installata e lo stato patch di luglio 2026 | Critica | Ore | Controllare tramite SAP Support Portal |
| Applicare il Security Patch Package di luglio se mancante | Critica | Ore-giorni | Richiede finestra di manutenzione |
| Disattivare o ruotare il client di autenticazione predefinito | Alta | Ore | Verificare impatto su integrazioni esistenti |
| Analizzare i log storici del Data Hub Adapter da metà agosto | Alta | Giorni | Cercare gli indicatori di compromissione elencati |
| Applicare anche la patch di settembre per CVE-2026-2332 | Media | Giorni | Componenti Jetty di Search and Navigation |
| Rivedere le credenziali OAuth2 di esempio residue | Media | Giorni | Collegato a CVE-2026-44769 |
Chi non ha ancora una procedura strutturata di risposta agli incidenti può prendere spunto dal nostro approfondimento sulla falla Citrix NetScaler CVE-2026-8452, che segue uno schema simile di patch rapida seguita da sfruttamento quasi immediato, e adattare gli stessi principi di prioritizzazione al contesto SAP.
Cinque previsioni per i prossimi mesi
- Nei prossimi 30-60 giorni è probabile che emergano i primi report di incidenti confermati collegati a CVE-2026-58231, man mano che le aziende completano le analisi forensi sui log di agosto e settembre.
- SAP dovrà probabilmente rivedere il proprio processo di comunicazione delle vulnerabilità già sfruttate, dato il divario segnalato tra la conferma di Defused e l’aggiornamento del bollettino ufficiale.
- È plausibile che CISA aggiunga CVE-2026-58231 al proprio catalogo Known Exploited Vulnerabilities nelle prossime settimane, seguendo lo schema già visto per altre falle critiche enterprise nel 2026.
- Il numero di istanze esposte individuate da Shadowserver potrebbe scendere gradualmente, ma solo se la pressione mediatica e gli avvisi CERT-EU si tradurranno in patching effettivo da parte delle organizzazioni coinvolte.
- Ulteriori vulnerabilità nel Data Hub Adapter o in altri componenti di integrazione di Commerce Cloud non sono da escludere, dato lo schema ricorrente osservato con CVE-2026-44769 e le due advisory NCSC del 2026.
Domande frequenti su CVE-2026-58231 e SAP Commerce Cloud
Cos’è CVE-2026-58231?
È una vulnerabilità critica (CVSS 10.0) nel Data Hub Adapter di SAP Commerce Cloud che consente l’esecuzione di codice da remoto senza autenticazione, tramite un client di autenticazione predefinito e controlli di autorizzazione insufficienti.
Da quando viene sfruttata attivamente?
Secondo la società di threat intelligence Defused, i primi tentativi di sfruttamento sono stati osservati il 14 agosto 2026, appena tre giorni dopo il rilascio della patch di SAP.
Quante istanze sono esposte su internet?
Il progetto di scansione Shadowserver ha censito oltre 4.200 istanze di SAP Commerce Cloud raggiungibili pubblicamente, concentrate soprattutto in Europa e Nord America, secondo quanto riportato dal Cyber Brief 26-09 di CERT-EU del 3 settembre 2026.
La falla riguarda anche l’Italia?
Non esiste al momento un conteggio pubblico ufficiale per singolo paese europeo. Le fonti disponibili riportano solo dati aggregati a livello globale e regionale, senza una cifra specifica per l’Italia.
SAP ha già rilasciato una patch?
Sì, la correzione per il Data Hub Adapter è stata inclusa nel Security Patch Package di luglio 2026. Le aziende che non l’hanno ancora applicata restano esposte.
Ci sono altre vulnerabilità SAP Commerce Cloud da conoscere?
Sì, nel 2026 sono emerse anche CVE-2026-44769 (client OAuth2 di esempio con credenziali pubbliche), un problema di configurazione Spring Security descritto nell’advisory NCSC-2026-0140, e CVE-2026-2332, un’iniezione CRLF corretta nell’aggiornamento di settembre 2026.
Come posso verificare se la mia installazione è vulnerabile?
Il primo passo è controllare la versione installata tramite il SAP Support Portal e confrontarla con le release corrette nel Security Patch Package di luglio 2026. In assenza di certezza, è consigliabile trattare l’istanza come potenzialmente esposta e applicare comunque la patch.
Cosa rischia un’azienda che non applica la patch?
Oltre alla compromissione diretta del server, il rischio include accesso non autorizzato a dati clienti e ordini, interruzione del servizio e-commerce e, in caso di violazione confermata di dati personali, obblighi di notifica secondo il GDPR con possibili sanzioni delle autorità di protezione dati.
Fonti: CERT-EU, Cyber Brief 26-09 · Field Effect · Protect.computer · Integrity360 · GCVE Vulnerability-Lookup
