Kritische SAP-Commerce-Cloud-Lücke wird bereits angegriffen

Veröffentlicht am: 17. August, 2026

Eine kritische Sicherheitslücke in SAP Commerce Cloud, früher auch als SAP Hybris bekannt, wird bereits für Angriffsversuche ausgenutzt. Betroffen ist die E-Commerce-Plattform, die unter anderem als technische Grundlage für Onlineshops eingesetzt wird. Für die Schwachstelle CVE-2026-58231 steht seit dem SAP-Patchday vom 11. August 2026 ein Sicherheitsupdate bereit. Die Lücke erreicht mit einem CVSS-Wert von 10,0 die höchstmögliche Risikobewertung.

Angreifer können die Schwachstelle über das Netzwerk ausnutzen, ohne sich zuvor am System anmelden zu müssen. Auch eine Interaktion durch Nutzer ist für einen Angriff nicht erforderlich. Über einen standardmäßig vorhandenen Authentifizierungsclient können speziell präparierte Eingaben an Funktionen übermittelt werden, die diese nicht ausreichend überprüfen. Bei einem erfolgreichen Angriff können Angreifer dadurch beliebigen Schadcode ausführen und interne Komponenten der Anwendung kompromittieren.

Besonders kritisch ist, dass bereits wenige Tage nach Veröffentlichung des Updates erste Angriffsversuche beobachtet wurden. Sicherheitsforscher von Defused registrierten am 14. August 2026 entsprechende Aktivitäten auf Honeypot-Systemen. SAP bestätigte, über die Meldungen informiert zu sein und diese zu untersuchen.

Die potenzielle Angriffsfläche ist erheblich: Nach Scans der Shadowserver Foundation sind weltweit rund 4.300 SAP-Commerce-Cloud-Systeme über das Internet erreichbar, davon etwa 2.400 in Europa und etwas mehr als 100 in Deutschland. Daraus lässt sich allerdings nicht ableiten, wie viele dieser Systeme tatsächlich verwundbar oder bereits aktualisiert sind. Zudem können sich unter den erfassten Systemen auch Honeypots befinden.

SiBa empfiehlt

Installieren Sie die von SAP bereitgestellten Sicherheitsupdates für betroffene SAP-Commerce-Cloud-Systeme umgehend.
Prüfen Sie Systeme zusätzlich auf Anzeichen einer möglichen Kompromittierung – insbesondere, wenn sie vor dem Update aus dem Internet erreichbar waren.
Halten Sie geschäftskritische Systeme und Anwendungen grundsätzlich auf einem aktuellen Sicherheitsstand.
Ziehen Sie bei verdächtigen Aktivitäten interne IT-Sicherheitsverantwortliche oder spezialisierte Dienstleister hinzu.

Wer kann mir helfen?

SAP Security Notes & News

Richtiges Verhalten im IT-Sicherheitsnotfall – DSIN

Wie schütze ich mich?

IT-Sicherheitskonzept und Standards – DSIN

BSI – Softwareupdates schnellstmöglich installieren

Quelle der Meldung: Kritische Sicherheitslücke: SAP-Systeme werden attackiert – Golem.de

Alle sehen

27.07.2026

Vorsicht vor gefälschten Download-Webseiten für kostenlose Programme

Wer im Internet nach kostenlosen Programmen sucht, sollte derzeit besonders aufmerksam sein. Sicherheitsforschende und Entwickler haben eine groß angelegte Kampagne aufgedeckt, bei der zahlreiche gefälschte Webseiten bekannte Windows-Programme und andere beliebte Tools imitieren. Ziel der Seiten ist es, Nutzer:innen zum Herunterladen manipulierter Installationsdateien zu verleiten, die Schadsoftware enthalten können. Die Webseiten erscheinen häufig weit oben in Suchmaschinen und wirken auf den ersten Blick seriös. Sie verwenden bekannte Programmnamen, Logos, Produktbeschreibungen und teilweise sogar Inhalte der echten Herstellerseiten. Wer dort auf den Download-Button klickt, erhält jedoch unter Umständen keine originale Software, sondern eine präparierte Datei oder wird über mehrere Weiterleitungen zu einem Schadprogramm geführt. Dabei kommen unter anderem sogenannte Traffic Distribution Systems (TDS) zum Einsatz. Diese entscheiden anhand verschiedener Merkmale – etwa Standort, Browser oder Gerät – ob Besucher:innen auf eine harmlose Seite oder zu einer Schadsoftware weitergeleitet werden. Dadurch wird die Erkennung durch Sicherheitslösungen zusätzlich erschwert. Je nach Kampagne können unterschiedliche Schadprogramme verteilt werden. Häufig handelt es sich um sogenannte Infostealer, die gespeicherte Passwörter, Browserdaten, Zugangsdaten, Kryptowallets oder andere sensible Informationen stehlen. In anderen Fällen werden weitere Schadprogramme nachgeladen oder Fernzugriffe auf das betroffene Gerät ermöglicht. Besonders gefährdet sind Personen, die nach kostenlosen Tools, Open-Source-Programmen oder beliebten Windows-Anwendungen suchen und diese nicht von den offiziellen Webseiten herunterladen. SiBa empfiehlt: Laden Sie Programme ausschließlich von den offiziellen Webseiten der Hersteller oder den offiziellen Projektseiten herunter. Prüfen Sie die Internetadresse sorgfältig. Schon kleine Abweichungen im Domainnamen können auf eine Fälschung hinweisen. Seien Sie misstrauisch, wenn eine Webseite ungewöhnlich viele Werbetexte, KI-generierte Inhalte oder auffällige Download-Schaltflächen enthält. Halten Sie Ihr Betriebssystem sowie Ihre Sicherheitssoftware aktuell und überprüfen Sie heruntergeladene Dateien vor dem Öffnen. Wer kann mir helfen?

BSI – Sicheres Herunterladen von Software: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Software/software_node.html
Digitalführerschein (DiFü): https://difue.de/

Wie schütze ich mich?

DsiN – Daten vor Verlust und Fremdzugriff schützen: https://www.sicher-im-netz.de/daten-vor-verlust-und-fremdzugriff-sch%C3%BCtzen/
Digitalführerschein – Schadsoftware: https://difue.de/lernzentrale/privat/level1/gefahrenschutz/schadsoftware/
BSI – Schutz vor Schadprogrammen: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Schadprogramme/schadprogramme_node.html

07.07.2026

Microsoft verlängert Sicherheitsupdates für Windows 10 bis Oktober 2027

Gute Nachrichten für Nutzer:innen von Windows 10: Microsoft hat das Programm für erweiterte Sicherheitsupdates (Extended Security Updates, ESU) für Privatkund:innen um ein weiteres Jahr verlängert. Statt wie ursprünglich geplant bis Oktober 2026 können registrierte Nutzer:innen nun bis zum 12. Oktober 2027 weiterhin Sicherheitsupdates für Windows 10 erhalten. Am regulären Supportende von Windows 10 ändert sich dadurch allerdings nichts: Seit dem 14. Oktober 2025 stellt Microsoft keine kostenlosen Sicherheitsupdates mehr für das Betriebssystem bereit. Wer Windows 10 weiterhin nutzen möchte, muss deshalb am ESU-Programm teilnehmen, um auch künftig Sicherheitsupdates zu erhalten. Die Verlängerung gilt automatisch für alle Privatnutzer:innen, die bereits am ESU-Programm teilnehmen. Wer sich bislang noch nicht registriert hat, kann dies weiterhin nachholen. Microsoft weist jedoch darauf hin, dass das ESU-Programm lediglich als Übergangslösung gedacht ist. Langfristig empfiehlt das Unternehmen den Wechsel auf Windows 11 oder ein anderes unterstütztes Betriebssystem. SiBa empfiehlt:

Prüfen Sie, ob Ihr Windows-10-Gerät am ESU-Programm teilnimmt oder eine Registrierung sinnvoll ist.
Installieren Sie verfügbare Sicherheitsupdates immer zeitnah.
Planen Sie den Wechsel auf ein unterstütztes Betriebssystem frühzeitig, da das ESU-Programm ebenfalls zeitlich begrenzt ist.
Erstellen Sie vor einem Systemwechsel oder größeren Updates regelmäßig Sicherungskopien Ihrer wichtigen Daten.

Weitere Informationen von Microsoft Erweiterte Sicherheitsupdates für Windows 10 | Microsoft Windows Vorbereiten für das Windows 11-Upgrade | Microsoft Support Windows 11-Spezifikationen und -Systemanforderungen | Microsoft Windows Quelle der Meldung: Windows 10: ESU-Updates bis Oktober 2027 verlängert | heise online

Newsroom