SAP Commerce Cloud : faille e-commerce à sévérité maximale exploitée en campagne active dès J+3

Une vulnérabilité RCE sans authentification dans SAP Commerce Cloud est déjà ciblée par des attaquants trois jours après le patch. Les plateformes e-commerce B2B et B2C des grandes entreprises sont en ligne de mire.

Quoi

Une vulnérabilité de sévérité maximale affectant SAP Commerce Cloud (anciennement SAP Hybris, la plateforme e-commerce d'entreprise de SAP) est exploitée en campagne active - seulement trois jours après la publication du correctif. La faille permet une RCE (Remote Code Execution, exécution de code à distance) sans authentification préalable. L'alerte vient de la société de threat intelligence Defused.

Qui est impacté

SAP Commerce Cloud équipe les plateformes e-commerce B2B et B2C de nombreuses grandes entreprises - retailers, manufacturiers, distributeurs. Si votre organisation héberge une instance SAP Commerce Cloud avec un accès Internet, considérez cet avertissement comme critique.

Analyse

Le délai entre la publication d'un patch et l'exploitation active se compresse d'année en année. Trois jours est désormais un délai courant pour les vulnérabilités critiques dans des logiciels à forte diffusion : les attaquants automatisent le reverse engineering des correctifs pour extraire les détails techniques de la faille avant que la majorité des organisations aient eu le temps de déployer la mise à jour.

SAP Commerce Cloud présente une surface d'attaque particulièrement attractive :

• Exposition native sur Internet : c'est une plateforme e-commerce, conçue pour être accessible publiquement
• Données sensibles : informations clients, historiques de commandes, données de paiement, connexions ERP en backend
• Cycles de mise à jour complexes : dans les environnements SAP, les mises à jour passent souvent par des processus de validation internes longs

La RCE non authentifiée est le scénario le plus grave : un attaquant sans aucun identifiant valide peut exécuter du code arbitraire sur le serveur.

À faire maintenant

1. Identifiez toutes vos instances SAP Commerce Cloud - y compris les environnements de staging et UAT souvent négligés lors des cycles de patch urgents.
2. Appliquez le correctif SAP immédiatement via votre SAP Support Portal (Security Note correspondante).
3. Auditez vos logs d'accès depuis la date de publication de la faille pour détecter des tentatives d'exploitation antérieures au patch.
4. Isolez les instances non patchées derrière un WAF (Web Application Firewall) en mode blocage le temps du déploiement.