A SAP publicou uma atualização de emergência e não programada, para corrigir uma vulnerabilidade crítica no NetWeaver Visual Composer que já está sendo explorada na web – na verdade um 0-Day, catalogado como CVE-2025-31324. A falha, que tem gravidade CVSS 10.0, permite que invasores remotos e mesmo não autenticados carreguem arquivos maliciosos e obtenham execução remota completa de código — sem a necessidade de login.
Leia também
SAP corrige vulnerabilidades críticas no NetWeaver
SAP corrige cinco falhas de “alta prioridade”
Pesquisadores da Reliaquest divulgaram a vulnerabilidade no SAP depois que uma investigação descobriu invasores enviando webshells JSP em diretórios de acesso público. O que eles informaram:
- Agentes de ameaças estão abusando do endpoint /developmentserver/metadatauploader
- Eles estão instalando shells web JSP e executando comandos diretamente de navegadores
- A atividade pós-exploração inclui ferramentas como Brute Ratel e injeção de MSBuild para furtividade
Até mesmo sistemas totalmente atualizados foram comprometidos — confirmando que se tratava de um verdadeiro 0-Day. Tanto a ReliaQuest quanto a watchTowr confirmaram a exploração ativa, com os invasores já se movimentando para estabelecer persistência e movimentação lateral. Os pesquisadores inicialmente suspeitaram que os hackers estavam explorando uma vulnerabilidade antiga, identificada como CVE-2017-9844 , ou uma vulnerabilidade não reportada de inclusão remota de arquivos. No entanto, a Reliaquest observou comprometimentos em sistemas atualizados.
Quem é afetado:
- Ambientes SAP NetWeaver Visual Composer 7.50
- Sistemas expostos à internet, especialmente se o Visual Composer estiver habilitado
O que é preciso fazer segundo o alerta:
- Aplicar o patch de emergência da SAP (lançado após a atualização de 8 de abril)
- Se não for possível aplicar o patch imediatamente:
- Restringir o acesso ao endpoint vulnerável
- Desativar o Visual Composer se não estiver em uso
- Encaminhar logs para o SIEM e verificar se há uploads de servlets não autorizados
Também incluído na atualização de emergência:
- CVE-2025-27429 — Injeção de código no SAP S/4HANA
- CVE-2025-31330 — Injeção de código no SAP Landscape Transformation
