ただし、現時点では攻撃の規模は限定的とみられる。Defusedの創業者兼CEOであるシモ・コホネン氏はCybersecurity Diveの取材に対し、「これまでCVE-2026-58231の悪用を試みた攻撃者は1人しか確認されておらず、現時点では広範囲に拡大しているようには見えない」と説明した。

　Defusedによると、これまでこの脆弱性について公開された概念実証（PoC）はなく、実際に悪用された事例も確認されていなかったという。

　この脆弱性が悪用されると、攻撃者はデフォルトの認証クライアントを介して不正な操作が可能になる。攻撃に成功した場合、任意のコードを実行されるほか、内部コンポーネントを侵害される可能性がある。

　この脆弱性のCVSSスコアは最大の10.0で、深刻度が「Critical」（緊急）に分類される。

　SAP Commerce Cloudは、企業がオンラインストアなどの電子商取引サービスを運営するために利用するエンタープライズ向けのプラットフォームだ。

　セキュリティ企業watchTowrの研究者らは、この脆弱性は非常に悪用しやすく、攻撃者によって大量の機密情報が流出する可能性があると指摘する。

　watchTowrの主席脅威インテリジェンススペシャリストであるヨルダン・ガンチェフ氏は、「攻撃者は、顧客の個人情報（PII）を保管し、他の業務システムやサービスにも直接接続されているインターネット公開型のインスタンスを、わずか数回のリクエストで侵害できる可能性がある」と述べた。

　さらに同氏は、「こうした製品は攻撃者にとって宝の山だ。一度足掛かりを確保されると、機密データや認証情報に直接アクセスされるだけでなく、他のシステムへ迅速に侵入するための経路として悪用される可能性がある」と警告している。

　SAPの広報担当者は、同社がこの問題について調査を進めていると説明した。SAPは8月のパッチリリースの一環として、顧客およびパートナー向けに今回の脆弱性に関するセキュリティ通知を公開している。

　SAPの広報担当者は「Cybersecurity Dive」に対し、「顧客およびパートナーには、直ちにシステムへパッチを適用することを推奨する」と述べた。

　また、セキュリティ企業Onapsisが公開したブログ記事によると（注3）、顧客はまず修正済みのCommerce Cloudリリースレベルに更新し、その後、更新したCommerce Cloud環境を再構築または再デプロイする必要があるという。

　Onapsisは、すぐにパッチを適用できない場合の一時的な対策として、SAP Commerce CloudでIPフィルターセットを設定し、脆弱なエンドポイントへのアクセスを制限することで、外部からの露出を減らせるとしている。

　SAPは2024年、自社の電子商取引プラットフォームのサービス強化を目的として（注4）、クラウドベースの決済機能を導入している。