Ciberdelincuentes han comenzado a intentar explotar una vulnerabilidad de severidad máxima en SAP Commerce Cloud, apenas tres días después de que se publicaran los parches de seguridad. A través de telemetría de honeypots, se detectó tráfico de ejecución remota no autenticada, a pesar de que aún no existe una prueba de concepto (PoC) pública para el fallo identificado como CVE-2026-58231.

Los actores de amenazas han comenzado a sondear activamente e intentar explotar un fallo de severidad máxima en SAP Commerce Cloud, solo tres días después de que se publicaran las correcciones de seguridad oficiales.

La telemetría de los honeypots de Defused capturó la primera ola de tráfico de ejecución remota no autenticada circulando por la web, a pesar de la ausencia total de una prueba de concepto pública.

Rastreado como CVE-2026-58231, el defecto de seguridad tiene una puntuación CVSS crítica de 10.0, lo que representa la calificación de severidad más alta posible para software empresarial. La vulnerabilidad permite que adversarios no autenticados ejecuten código arbitrario de forma remota a través de la red sin requerir interacción del usuario ni privilegios existentes.

Debido a que SAP Commerce Cloud sustenta escaparates digitales globales a gran escala y operaciones de cadena de suministro, un compromiso exitoso podría otorgar a los atacantes el control administrativo total sobre las bases de datos del backend, los canales de transacciones y activos empresariales sensibles.

Los sensores de Defused observaron los intentos iniciales de explotación dirigidos a endpoints de aplicaciones expuestos en el puerto web estándar 443. Los registros de actividad revelan tráfico de ataque entrante originado desde una infraestructura de alojamiento vinculada al Charlotte Colocation Center (AS11402) en los Estados Unidos, concretamente desde la dirección IP 216.249.99[.]43.

Los primeros intentos de explotación contra CVE-2026-58231 (RCE no autenticado en SAP Commerce Cloud, CVSS 10.0) están llegando a nuestros honeypots – 3 días después del día del parche.

Esta vulnerabilidad no tiene PoC pública y no se sabe que haya sido explotada.

Mira el payload completo https://t.co/GXFaqggV8a pic.twitter.com/zMJuo45Ahx

— Defused (@DefusedCyber) August 14, 2026

Los motores de inteligencia de amenazas clasificaron las ráfagas iniciales como escaneo masivo automatizado, lo que indica que actores oportunistas están escaneando sistemáticamente los despliegues de SAP expuestos a internet para identificar instalaciones vulnerables.

La rápida aparición de la explotación en el mundo real sin un código de demostración público indica que es probable que los actores de amenazas hayan realizado ingeniería inversa del parche del proveedor inmediatamente después de su lanzamiento.

Las empresas que ejecutan entornos SAP complejos suelen enfrentarse a ciclos prolongados de prueba de parches, lo que crea una lucrativa ventana de oportunidad para atacantes oportunistas y operadores de ransomware. Los actores de amenazas suelen atacar las plataformas de comercio empresarial para desplegar web shells, exfiltrar información de pago de clientes y establecer puntos de apoyo persistentes para intrusiones más amplias en la red corporativa.

Si gestionas despliegues de SAP, tu equipo de seguridad debe tratar esta amenaza activa con urgencia inmediata y aplicar las actualizaciones oficiales del proveedor en todas las instancias internas y expuestas a internet.

Debes inspeccionar los registros del servidor web de entrada y los firewalls de aplicaciones web en busca de solicitudes POST anómalas dirigidas a servicios administrativos desde hosts externos.

Si tu organización no puede aplicar la actualización inmediatamente, considera colocar las interfaces de gestión expuestas detrás de una red privada virtual (VPN) y aplicar listas de control de acceso estrictas para reducir la exposición al ataque.

Fuentes:
https://cybersecuritynews.com/hackers-exploit-sap-commerce-cloud/