Una falla critica in SAP apre le porte: vulnerabilità CVE-2025-31324 e il suo impatto globale

Un bug critico di portata globale

Una vulnerabilità in SAP NetWeaver , identificata come CVE-2025-31324, è rapidamente diventata una delle principali preoccupazioni per i team IT e di sicurezza di tutto il mondo. Con un punteggio CVSS massimo di 10,0, questa falla consente ad aggressori remoti di eseguire codice sui sistemi presi di mira senza autenticazione, rendendola una delle più gravi tipologie di rischio per la sicurezza. Il problema risiede in un endpoint esposto: /developmentserver/metadatauploader , che gli aggressori possono manipolare per caricare web shell dannose.

Questa falla non è solo teorica. Sono già stati individuati exploit in circolazione, rendendone fondamentale la tempestiva correzione e mitigazione per le organizzazioni che si affidano ai potenti strumenti aziendali di SAP.

Sfruttamento diffuso e precoce

Sebbene la vulnerabilità sia stata divulgata pubblicamente solo di recente, l'analisi forense rivela che potrebbe essere stata oggetto di attacchi silenziosi per mesi. Le prime prove di tentativi di indagine risalgono a gennaio 2025 , con un probabile inizio dello sfruttamento effettivo a metà marzo. Le aziende di sicurezza che monitorano i sistemi SAP hanno notato implementazioni riuscite di web shell tra il 14 e il 31 marzo, indicando una compromissione attiva ancor prima che la falla fosse ampiamente nota.

Diversi settori sono stati colpiti, tra cui energia, produzione, commercio al dettaglio, pubblica amministrazione e media. Questo impatto intersettoriale sottolinea la portata e l'importanza di SAP NetWeaver nelle operazioni aziendali globali e le implicazioni di vasta portata di una tale vulnerabilità.

Chaya_004: Un giocatore di spicco entra in scena

Tra gli autori delle minacce che sfruttano questa vulnerabilità c'è un gruppo chiamato Chaya_004 , che si ritiene abbia sede in Cina. Sebbene non si sappia molto di questo gruppo, i ricercatori lo hanno collegato a una serie di attività legate a questa vulnerabilità SAP. Le loro tattiche includono l'implementazione di una reverse shell basata su Golang chiamata SuperShell , insieme a un kit di strumenti per attacchi informatici come Cobalt Strike , SoftEther VPN e ARL (Asset Reconnaissance Lighthouse).

Una scoperta degna di nota è l'utilizzo da parte del gruppo di un indirizzo IP (47.97.42[.]177) che ospita la backdoor SuperShell, che presenta anche un insolito certificato autofirmato che finge di provenire da Cloudflare. Si tratta probabilmente di un tentativo di eludere il rilevamento imitando servizi legittimi.

Una gara tra criminali informatici

Una volta che una vulnerabilità viene rivelata, soprattutto se di così alto impatto, inizia una vera e propria corsa. E CVE-2025-31324 non fa eccezione. In seguito alla sua divulgazione pubblica, diversi gruppi di criminali informatici si sono uniti alla mischia, prendendo di mira sistemi privi di patch per distribuire web shell e, in alcuni casi, software per il mining di criptovalute. Questi attacchi opportunistici complicano ulteriormente il panorama, poiché rendono più difficile per i difensori distinguere tra sfruttamento occasionale e intrusioni strategiche più mirate.

Questo interesse più ampio per questo exploit significa che anche le organizzazioni con profili di minaccia modesti potrebbero diventare bersagli, soprattutto se ritardano l'implementazione delle patch o non riescono a rafforzare i propri sistemi.

Implicazioni per la sicurezza aziendale

Le implicazioni di CVE-2025-31324 vanno oltre i singoli attacchi. Una volta che un sistema viene compromesso tramite l'esecuzione di codice remoto, gli aggressori possono mantenere un accesso persistente, estrarre dati sensibili, spostarsi tra le reti o distribuire malware aggiuntivo. L'utilizzo da parte di alcuni aggressori di strumenti di post-exploitation come Brute Ratel C4 suggerisce obiettivi avanzati che potrebbero includere spionaggio a lungo termine o esfiltrazione di dati.

In un contesto aziendale globale in cui i sistemi SAP contengono spesso dati operativi essenziali, l'impatto di tali violazioni potrebbe essere grave: dall'interruzione delle attività alle conseguenze normative.

Difesa e risposta: cosa dovrebbero fare le organizzazioni

Gli esperti di sicurezza consigliano vivamente un'azione immediata. L'applicazione delle patch ufficiali SAP è il primo e più importante passo. Inoltre, le organizzazioni dovrebbero limitare l'accesso all'endpoint vulnerabile del caricamento dei metadati e valutare la disattivazione del servizio Visual Composer se non è in uso. Un monitoraggio costante di comportamenti sospetti, in particolare degli indicatori della web shell, può aiutare a rilevare intrusioni in corso o tentate.

I ricercatori di Forescout sottolineano che anche i sistemi già patchati potrebbero rimanere a rischio se gli aggressori avessero installato web shell prima della correzione. Pertanto, gli interventi di risposta dovrebbero includere l'analisi dei log di sistema, dei modelli di traffico e dei comportamenti degli endpoint per identificare segnali di compromissione.

Conclusione

La vulnerabilità CVE-2025-31324 è un potente promemoria di quanto rapidamente gli aggressori possano adattarsi e sfruttare le nuove debolezze scoperte. Con le industrie globali che dipendono da SAP per le funzioni mission-critical, la posta in gioco è alta. Sebbene la vulnerabilità sia grave, esistono chiare misure difensive e le organizzazioni che agiscono rapidamente e con decisione possono ridurre significativamente il rischio.

Rimanere informati, vigili e proattivi resta la migliore difesa in un ambiente in cui le minacce informatiche continuano a evolversi a un ritmo rapido.