SAP Commerce Cloud’daki Kritik Açık İçin Saldırı Girişimleri Başladı

SAP Commerce Cloud’da maksimum önem derecesine sahip kritik bir güvenlik açığı için saldırı girişimleri, yamanın yayımlanmasından yalnızca üç gün sonra tespit edildi. SAP Commerce Cloud açığı olarak takip edilen CVE-2026-58231, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırılmasına yol açabilecek bir zafiyet olarak değerlendiriliyor. Defused araştırmacıları saldırı denemelerini honeypot sistemlerinde gözlemlerken SAP, konuyu incelediğini belirterek müşterilerine güvenlik güncellemesini derhâl uygulama çağrısı yaptı.

CVE-2026-58231 Kimlik Doğrulama Gerektirmeden Kod Çalıştırabiliyor

SAP Commerce Cloud üzerinde yapılan güvenlik incelemesi, CVE-2026-58231’in platformun Data Hub Adapter uzantısındaki yetkilendirme kontrolüyle ilişkili olduğunu ortaya koyuyor. Saldırganlar, ayrıcalıklı bir hesaba sahip olmadan belirli işlevlere özel hazırlanmış girdiler göndererek zafiyeti tetikleyebiliyor. CVSS puanının 10,0 olması, açığın gizlilik, bütünlük ile erişilebilirlik açısından en yüksek risk seviyesinde değerlendirildiğini gösteriyor.

SAP Hybris adıyla da bilinen Commerce Cloud, büyük perakendecilerin çevrim içi mağazalarında kullanılan kurumsal bir e-ticaret platformu olarak öne çıkıyor. Platformdaki uzaktan kod çalıştırma riski, saldırganın yalnızca web mağazasındaki içeriklere erişmesiyle sınırlı kalmayıp uygulamanın çalıştığı sistem içerisindeki bileşenlere kadar ilerleyebilmesi nedeniyle önem taşıyor.

Saldırı Denemeleri Yama Sonrası Yalnızca Üç Gün İçinde Görüldü

Defused güvenlik araştırmacıları, CVE-2026-58231 için ilk istismar girişimlerini yamanın yayımlanmasından üç gün sonra honeypot altyapılarında tespit etti. Araştırmacılar saldırıların herhangi bir kullanıcı hesabı gerektirmeden gerçekleştirilmeye çalışıldığını aktarırken açığa ilişkin kamuya açık bir PoC bulunmadığını da belirtti.

Defused tarafından gözlemlenen saldırı trafiği, zafiyetin saldırganlar tarafından hızla araştırılmaya başlandığını gösteriyor. SAP henüz kendi güvenlik duyurusunda CVE-2026-58231’i doğrulanmış aktif istismar kategorisine almadı. Şirketin güvenlik ekibi raporu incelerken müşterilerden yayımlanan düzeltmeleri gecikmeden uygulamalarını istemesi, kurumsal sistemlerde yama önceliğini artırıyor.

İnternete açık SAP Commerce Cloud kurulumları, saldırganların doğrudan erişebileceği bir saldırı yüzeyi oluşturuyor. Shadowserver tarafından takip edilen verilere göre internette Commerce Cloud parmak izi taşıyan 4.200’den fazla IP adresi bulunuyor. Söz konusu adreslerin önemli bölümü Avrupa ile Kuzey Amerika’da yer alırken sistemlerin tamamının üretim ortamı olup olmadığı veya ne kadarının güncel yamaları aldığı bilinmiyor.

Kurumsal e-ticaret altyapısında kullanılan bir uzaktan kod çalıştırma açığı, saldırganların müşteri verileri, uygulama yapılandırmaları veya arka uç sistemlerine yönelik sonraki adımlarını kolaylaştırabilir. Saldırı yüzeyinin internet üzerinden erişilebilir olması, güvenlik ekiplerinin yalnızca yama durumunu değil dışarıya açık Commerce Cloud varlıklarını da kontrol etmesini gerektiriyor.

SAP’nin son aylardaki güvenlik bültenleri, Commerce Cloud ürününde birden fazla kritik zafiyetin giderildiğini gösteriyor. Temmuz 2026 güvenlik güncellemesinde CVE-2026-44761 olarak takip edilen kritik bir güvenlik açığı düzeltilirken mayıs ayında CVE-2026-34263 için de kritik seviyede bir yama yayımlandı. Farklı zafiyetlerin kısa aralıklarla ortaya çıkması, Commerce Cloud kullanan kurumların tek seferlik yama yerine sürekli güvenlik takibi yürütmesini gerektiriyor.

SAP Security Note mekanizması, kurumsal müşterilerin ürünlerdeki güvenlik açıklarına ilişkin düzeltmeleri takip ettiği temel kanallardan biri olarak kullanılıyor. CVE-2026-58231 için yayımlanan düzeltmenin uygulanması, saldırı girişimlerinin başlamış olması nedeniyle özellikle internete açık sistemlerde öncelikli güvenlik işlemlerinden biri haline geliyor.

CISA’nın Known Exploited Vulnerabilities kataloğunda 2021 yılından bu yana çok sayıda SAP zafiyetinin yer alması, kurumsal SAP altyapılarının saldırganlar açısından uzun süredir takip edilen hedefler arasında bulunduğunu gösteriyor. Kuruluşların SAP sistemlerini yalnızca iş uygulaması olarak değerlendirmemesi gerekiyor çünkü kimlik doğrulama, veri erişimi, entegrasyon servisleri ile üçüncü taraf bileşenler aynı saldırı zincirinin parçaları haline gelebiliyor.

SAP ekosistemindeki risk yalnızca Commerce Cloud ile sınırlı kalmıyor. Nisan 2026’da Aikido ile Socket araştırmacılarının bildirdiği npm tedarik zinciri saldırısı, saldırganların SAP ile ilişkili yazılım bileşenlerini geliştirici sistemlerinden kimlik bilgisi çalmak amacıyla hedefleyebildiğini göstermişti. Farklı saldırı yöntemleri, SAP kullanan kuruluşların uygulama güvenliği kadar yazılım tedarik zinciri ile erişim kontrollerini de düzenli olarak incelemesini gerektiriyor.

CVE-2026-58231 için saldırı girişimlerinin yama sonrasında yalnızca birkaç gün içinde ortaya çıkması, kurumsal güvenlik ekipleri açısından yama hızının önemini yeniden ortaya koyuyor. E-ticaret operasyonlarını SAP Commerce Cloud üzerinde yürüten şirketlerin dışarıya açık örnekleri belirlemesi, ilgili güvenlik notunu uygulaması ve saldırı göstergelerini loglarda incelemesi gerekiyor. Önümüzdeki süreçte güvenlik araştırmacılarının açığa ilişkin daha fazla teknik ayrıntı yayımlaması halinde saldırıların kapsamı ile kullanılan yöntemler de daha net ortaya çıkacak.