SAP Commerce Cloud：深刻度最大のeコマース脆弱性がJ+3から活発な攻撃キャンペーンで悪用される

RCEの脆弱性がパッチ公開から3日で悪用される、SAP Commerce Cloudの認証なし攻撃が拡大中。大企業のB2B・B2C eコマースプラットフォームが標的となっている。

対象

SAP Commerce Cloud（かつてのSAP Hybris、SAPのエンタープライズeコマースプラットフォーム）に影響を与える最大重大度の脆弱性が修正プログラム公開からわずか3日後にアクティブな攻撃キャンペーンで悪用されています。この脆弱性により、認証なしでRCE（リモートコード実行）が可能です。アラートを発したのは脅威インテリジェンス企業Defusedです。

影響を受ける対象

SAP Commerce Cloudは、多くの大企業（小売業者、製造業者、流通業者）のB2B・B2C eコマースプラットフォームで使用されています。組織がインターネットに接続されたSAP Commerce Cloudのインスタンスをホストしている場合、この警告をクリティカルとみなしてください。

分析

パッチ公開からアクティブな悪用までの期間は年々短縮されています。3日間は、広く普及したソフトウェアのクリティカルな脆弱性にとって一般的な期間となっています。攻撃者は修正プログラムのリバースエンジニアリングを自動化し、多くの組織がアップデートを展開する前に脆弱性の技術的詳細を抽出しています。

SAP Commerce Cloudは、特に魅力的な攻撃対象面を持っています：

• ネイティブなインターネット公開：eコマースプラットフォームであり、一般に公開されることを前提に設計されている
• 機密データ：顧客情報、注文履歴、決済データ、バックエンドのERP接続
• 複雑なアップデートサイクル：SAP環境では、アップデートに長い内部検証プロセスが必要な場合が多い

認証不要のRCEは最も深刻なシナリオです。有効な認証情報なしで、攻撃者がサーバー上で任意のコードを実行できます。

今すぐ実施すべきこと

1. SAP Commerce Cloudのすべてのインスタンスを特定する（緊急パッチ適用サイクルで見落とされがちなステージング・UAT環境を含む）。
2. SAP Support Portal（該当のセキュリティノート）経由で直ちにパッチを適用する。
3. 脆弱性公開日からのアクセスログを監査し、パッチ適用前の悪用の試みを検出する。
4. パッチ適用までの間、未適用のインスタンスをWAF（Web Application Firewall）でブロックモードに隔離する。