CVE-2026-44761: Kritisk standardadgangskode i SAP Commerce

CVE-2026-44761 er en sårbarhed i SAP Commerce Cloud, en e-handelsplatform fra SAP. Systemet kan installeres med en eksempelklient til OAuth2, en standard til at udstede adgangstokens til API-kald. Denne eksempelklient følger med foruddefinerede brugernavn og adgangskode, som er offentligt beskrevet i SAP’s dokumentation på SAP Help Portal. Bliver disse standardoplysninger ikke ændret efter installation, kan en angriber uden nogen form for login hente dem fra dokumentationen og bruge dem til at få et gyldigt adgangstoken. Med det token kan angriberen kalde bestemte API’er og både læse og ændre data i systemet.

Det rammer virksomheder og organisationer, der kører SAP Commerce Cloud, og som ikke har fjernet eller ændret den medfølgende eksempel-OAuth2-klient og dens standardoplysninger. Det gælder typisk større danske detailhandlere, produktionsvirksomheder og andre med webshops eller B2B-portaler bygget på SAP Commerce Cloud. Risikoen afhænger af, om installationen fortsat bruger de dokumenterede eksempelværdier, eller om de er blevet erstattet ved opsætning.

En angriber, der finder de offentligt dokumenterede adgangskoder, kan hente et gyldigt adgangstoken uden at logge ind med en rigtig konto. Herfra kan angriberen læse følsomme data, for eksempel kundeoplysninger, ordrer og priser, og også ændre data via de API’er, klienten har adgang til. For en dansk webshop kan det betyde læk af kundedata, manipulerede priser eller ordrer, og et efterfølgende krav om anmeldelse til Datatilsynet, hvis persondata er berørt.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ingen godkendt adgang på forhånd, ingen handling fra en bruger, og kan udføres over internettet med lav kompleksitet. Konsekvensen er høj for fortrolighed og integritet af data, men sårbarheden påvirker ikke systemets tilgængelighed, altså kan angriberen ikke lukke systemet ned. Der er ikke oplyst noget om aktiv udnyttelse, men fordi adgangskoderne er offentligt kendte fra SAP’s egen dokumentation, er sårbarheden let at afprøve for enhver, der ved, hvor de skal lede.

Sårbarheden lukkes ved at fjerne eller ændre standardoplysningerne, ikke ved en klassisk softwareopdatering. Gør følgende:

1. Find den medfølgende eksempel-OAuth2-klient i jeres SAP Commerce Cloud-opsætning og skift dens brugernavn og adgangskode til unikke værdier, eller deaktiver klienten helt hvis den ikke er i brug.
2. Gennemgå alle øvrige API-klienter og servicekonti i systemet for standardoplysninger eller svage adgangskoder fra dokumentation og eksempler.
3. Kontrollér logfiler for adgangstokens udstedt til den pågældende klient for at se, om der har været uautoriseret aktivitet.
4. Indfør en fast rutine, hvor alle standardkonti og eksempeldata fjernes eller ændres straks ved installation eller opgradering af SAP-systemer.
5. Overvåg SAP’s sikkerhedsmeddelelser for eventuel officiel rettelse eller supplerende vejledning til denne sårbarhed.
6. Har I ikke selv kompetencerne til at gennemgå SAP Commerce Cloud-konfigurationen, bør I hente ekstern hjælp til en sikkerhedsgennemgang, inden I går videre.