Il Security Patch Day SAP dell'11 agosto 2026 ha portato 28 nuove note di sicurezza, ma una in particolare merita la massima attenzione di chi gestisce piattaforme e-commerce: CVE-2026-58231, punteggio CVSS 10.0, il massimo possibile. Colpisce SAP Commerce Cloud (versioni COM_CLOUD 2211 e 2211-JDK21) ed è già passata dalla teoria alla pratica: la società di threat intelligence Defused ha rilevato sui propri honeypot i primi tentativi di sfruttamento reale il 14 agosto, appena tre giorni dopo la pubblicazione della patch.

Cosa è successo

La falla è un problema di autorizzazione insufficiente nel componente Data Hub Adapter di Commerce Cloud. L'endpoint che gestisce l'importazione dei dati verifica in modo carente l'identità di chi lo chiama: un attaccante può abusare di un client di autenticazione predefinito e inviare input costruito ad arte a funzioni che non validano correttamente i parametri ricevuti. Il risultato è esecuzione di codice da remoto senza alcuna credenziale valida, con impatto massimo su riservatezza, integrità e disponibilità della piattaforma.

A differenza di molte falle critiche che restano teoriche per settimane, qui il divario tra divulgazione e sfruttamento è stato minimo: secondo Defused non esisteva un PoC pubblico né segnalazioni pregresse di attacchi in rete al momento della patch, eppure i tentativi di scansione e sfruttamento sono comparsi nel giro di 72 ore. È un pattern che si ripete sempre più spesso nel 2026 con le vulnerabilità SAP di severità massima: la finestra utile per applicare la correzione prima che diventi un problema operativo si è ristretta a pochi giorni, non più a settimane.

Nello stesso Patch Day, SAP ha corretto altre due falle critiche di rilievo: CVE-2026-34265 (CVSS 9.8), una memory corruption nel parsing del protocollo DIAG di NetWeaver Application Server ABAP, sfruttabile da remoto senza autenticazione; e una vulnerabilità di code injection in SAP Manufacturing Integration and Intelligence (CVSS 9.9), dove un attaccante con privilegi bassi può abusare della trasformazione XSL per eseguire comandi arbitrari.

Cosa significa per le aziende italiane

SAP Commerce Cloud è la piattaforma dietro molti store online e portali B2B di aziende manifatturiere, della moda e della grande distribuzione italiane: è il punto in cui transitano ordini, listini, dati di pagamento e anagrafiche clienti. Una falla che permette esecuzione di codice senza credenziali su questo componente non è un problema tecnico isolato, è un rischio diretto sul canale di vendita e sui dati dei clienti che vi transitano.

La velocità con cui è comparso lo sfruttamento reale cambia il calcolo del rischio rispetto al passato. Il ragionamento "pianifichiamo la patch nella prossima finestra di manutenzione" — comune per gli ambienti SAP, dove un intervento richiede test e spesso il coinvolgimento di un system integrator esterno — qui non regge: tre giorni sono un tempo compatibile solo con un intervento d'urgenza, non con il calendario ordinario dei rilasci trimestrali. Chi gestisce Commerce Cloud in outsourcing dovrebbe aver già ricevuto (o richiesto) conferma dal proprio fornitore che la nota è stata applicata.

Sul piano normativo, molte aziende che usano Commerce Cloud per l'e-commerce rientrano nel perimetro NIS2 come soggetti importanti nel settore della produzione, distribuzione o servizi digitali: la gestione tempestiva di una vulnerabilità critica su un sistema esposto a internet è precisamente il tipo di misura che ACN può richiedere in sede di verifica. Se la piattaforma tratta dati di pagamento e anagrafiche clienti — il caso tipico di un e-commerce — un'eventuale compromissione comporta anche gli obblighi di notifica al Garante Privacy entro 72 ore e, per i soggetti coinvolti, la comunicazione a CSIRT Italia.

Cosa fare subito

  • Verificare con priorità assoluta se l'ambiente Commerce Cloud in uso rientra nelle versioni COM_CLOUD 2211 o 2211-JDK21 e applicare senza indugio la nota di sicurezza SAP dell'11 agosto.
  • Se la piattaforma è gestita da un partner o system integrator esterno, richiedere conferma scritta dell'applicazione della patch e della data prevista, considerando che lo sfruttamento è già in corso.
  • Analizzare i log del Data Hub Adapter alla ricerca di richieste di importazione anomale o non riconducibili ai processi legittimi, in particolare nella finestra tra l'11 e il 14 agosto.
  • Estendere la verifica anche a CVE-2026-34265 (NetWeaver AS ABAP) e alla falla in SAP Manufacturing Integration and Intelligence, corrette nello stesso Patch Day.
  • In attesa della patch su ambienti non ancora aggiornati, restringere l'esposizione di rete del Data Hub Adapter ai soli client e segmenti strettamente necessari.

Un CVSS 10 sfruttato entro tre giorni dalla patch è un segnale che va oltre la singola vulnerabilità: per chi si affida a SAP Commerce Cloud per il proprio canale di vendita, il monitoraggio dei Patch Day mensili non può più essere un'attività a bassa priorità delegata all'ultimo minuto.