根據 thehackernews.com 的報導，SAP 近期發布了多項安全性更新，旨在修復多個高風險漏洞。其中最為嚴重的漏洞發生在 SAP Commerce Cloud 的 Data Hub Adapter 組件中，該漏洞被賦予 CVE-2026-58231 編號，且在 CVSS（通用漏洞評分系統，一種用於評估漏洞嚴重程度的標準化指標）中獲得了最高分 10.0 分。這意味著該漏洞具有極高的危險性，且攻擊門檻相對較低。
背景與漏洞成因
SAP Commerce Cloud 是一個用於構建大規模電子商務平台的企業級解決方案，而 Data Hub Adapter 則是負責在不同系統間同步與整合數據的關鍵組件。CVE-2026-58231 的核心問題在於系統缺乏足夠的授權檢查以及輸入驗證機制。
在正常的運作流程中，系統應要求使用者證明其身份後才能執行特定功能。然而，此漏洞允許未經認證的攻擊者，也就是不需要任何帳號密碼的外部人員，利用系統內建的預設認證用戶端，向缺乏驗證的特定函數提交經過特殊設計的惡意輸入。這種設計缺陷使得攻擊者能夠繞過安全防線，直接與後端功能互動。
核心影響與技術風險
一旦攻擊者成功利用此漏洞，將能達成任意程式碼執行（Arbitrary Code Execution, RCE）。RCE 是資訊安全中最危險的漏洞類型之一，它允許攻擊者在受影響的伺服器上執行任何他們想要的指令。
具體而言，這將導致內部組件被完全接管。由於 Commerce Cloud 處理的是企業的核心商業數據，包括客戶資訊、交易紀錄與庫存管理，一旦被攻破，應用程式的機密性（Confidentiality）、完整性（Integrity）以及可用性（Availability）將全部受到威脅。攻擊者不僅可以竊取敏感數據，還能篡改資料或直接導致服務崩潰，對企業造成巨大的營運損失。
其他併發的關鍵漏洞
除了 Commerce Cloud 的嚴重漏洞外，SAP 在 2026 年 8 月的更新中還修復了另外三個關鍵漏洞，顯示出企業級軟體在複雜集成環境下容易產生的安全盲點。
首先是 CVE-2026-44772，發生在 Manufacturing Integration and Intelligence（製造集成與智能）模組中。這是一個代碼注入漏洞，允許低權限用戶透過提交惡意輸入，強制應用程式從外部來源獲取並處理內容，最終在主機上執行任意指令。SAP 針對此問題引入了 Secure Transformer 屬性，要求管理員定義允許存放 XSL 文件的白名單主機，以限制外部內容的來源。
其次是 CVE-2026-34265，影響 SAP NetWeaver 的 ABAP 應用伺服器。這是一個越界寫入（Out-of-bounds Write）漏洞，涉及 DIAG 協定解析過程中的邏輯錯誤。未經認證的攻擊者可利用此缺陷導致記憶體損壞，進而洩露系統敏感資訊或造成系統崩潰。
最後是 CVE-2026-44758，同樣發生在製造集成與智能模組。該漏洞涉及伺服器端模板注入（SSTI, Server-Side Template Injection）與伺服器端請求偽造（SSRF, Server-Side Request Forgery）。這類漏洞允許具有高權限的攻擊者透過操縱模板或偽造伺服器內部請求，最終在底層作業系統中執行指令。SAP 的解決方案是直接移除受影響的 Servlet 組件。
實務應對與限制
針對 CVE-2026-58231，安全公司 Onapsis 強烈建議所有客戶立即更新至已修復的 Commerce Cloud 版本，並重新部署更新後的系統。對於無法立即完成全面更新的企業，暫時的緩解措施是配置 IP Filter Set（IP 過濾集），透過限制可訪問漏洞端點的來源 IP 位址，來降低被外部攻擊者利用的風險。
然而，這種臨時措施僅能降低暴露面，無法根除漏洞本身。對於其他代碼注入漏洞，僅僅更新版本是不夠的，管理員還必須正確配置新的安全屬性（如前述的 XSL 允許主機列表），否則系統仍可能在特定配置下處於風險之中。
這系列漏洞提醒企業，在依賴複雜的雲端整合平台時，預設的認證機制與輸入驗證往往是安全防禦最薄弱的環節。定期更新補丁與實施最小權限原則，是維護企業基礎設施安全的唯一有效路徑。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。