Su SAP NetWeaver cercano anche webshell già installate
SANS ISC ha osservato attività contro SAP NetWeaver che sfrutta CVE-2025-31324 per caricare webshell e cerca anche quelle già presenti. Gli attaccanti non puntano quindi soltanto a ottenere un nuovo accesso: cercano anche host che potrebbero essere stati compromessi in precedenza.
La falla consente di caricare file eseguibili senza autenticazione. Una webshell è un file che l'attaccante può contattare attraverso il server web per impartire comandi. La ricerca di shell già installate indica che il traffico può individuare punti d'appoggio lasciati da intrusioni precedenti.
Nei sistemi NetWeaver rimasti esposti senza patch, correggere la falla non dimostra che l'host sia pulito: una webshell già presente può mantenere l'accesso anche dopo la chiusura del varco.
CVSS 10 CRITICAL: sAP NetWeaver Visual Composer Metadata Uploader is not protected with a proper authorization, allowing… Impiego noto in campagne ransomware. EPSS 99% (100º percentile).
Data di correzione federale CISA 20 mag · data superata