Une nouvelle campagne d’attaquants cible activement les systèmes SAP NetWeaver, exploitant une faille connue mais redoutable : CVE-2025-31324. Selon SANS ISC, cette vulnérabilité permet à un agent malveillant de télécharger des fichiers sans aucune vérification d’identité. Les attaquants utilisent cette faille pour installer des webshells, qui se retrouvent souvent dans des répertoires sensibles, comme /irj/servlet_jsp/irj/root/ant.jsp.

Le problème n’est pas nouveau, mais son exploitation active est ce qui rend l’alerte urgente. Cette faille, concernant le composant SAP NetWeaver Visual Composer Metadata Uploader, est classée avec un score CVSS de 10,0, ce qui est critique. Le catalogue CISA KEV confirme d’ailleurs qu’elle est exploitée activement, signifiant que les acteurs malveillants ne testent pas la faille ; ils l’utilisent déjà pour pénétrer les systèmes.

Ce qui est touché et la gravité réelle

L’enjeu ici est simple mais catastrophique : l’upload non authentifié. Quand un attaquant parvient à déposer un fichier exécutable sur un serveur SAP NetWeaver, il n’a pas besoin de se connecter. Il peut injecter des outils de contrôle, les fameux webshells, qui lui donnent un accès persistant et souvent total au système hôte. SANS ISC signale que ces webshells finissent fréquemment dans des chemins spécifiques, typiquement sous /irj/servlet_jsp/irj/root/.

Cette vulnérabilité affecte la confidentialité, l’intégrité et la disponibilité du système ciblé. Elle est liée au fait que le Visual Composer Metadata Uploader n’est pas protégé par une autorisation adéquate. Les attaquants sondent une liste de chemins variés, incluant /ant.aspx, /upload.aspx, et /api/upload, dans leurs tentatives de contournement.

Qui doit agir et comment

Face à ces menaces, SAP maintient un processus de publication de correctifs régulier, le « SAP Security Patch Day », qui a lieu le deuxième mardi de chaque mois. Ce mécanisme vise à fournir des Notes de Sécurité pour corriger les faiblesses identifiées. Il est conseillé de traiter ces correctifs en priorité.

Il faut cependant noter que les correctifs pour SAP NetWeaver sont parfois livrés avec les mises à jour de Support Packages. SAP impose une règle : les notes de haute priorité (CVSS >= 7.0) doivent être prises en compte dans les douze mois suivant leur sortie. Pour les systèmes exposés à cette faille, l’action requise, selon les données techniques, est d’appliquer les mesures d’atténuation fournies par le fournisseur, ou de cesser l’utilisation du produit si ces mesures sont impossibles.

Que faire maintenant

Pour toute organisation utilisant SAP NetWeaver, la priorité absolue doit être l’application immédiate des correctifs liés à CVE-2025-31324. L’existence de cette vulnérabilité dans les listes d’outils d’exploitation confirme que le temps de la réaction est passé. Si une mise à jour n’est pas immédiatement disponible ou applicable, il est impératif de suivre les instructions du fournisseur pour mettre en place des mesures d’atténuation, ou, si ces mesures sont impossibles, de désactiver l’utilisation du produit concerné.

Fiche technique

Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• Attackers Searching for SAP Netweaver Webshells, (Mon, Nov 9th), SANS ISC, 9 novembre 2026
• Avis de sécurité (url.sap), url.sap, 24 avril 2025
• GHSA-7w9p-pr7x-mjw2 : SAP NetWeaver Visual Composer Metadata Uploader is not protected with a proper…, GitHub Advisory Database (CC BY 4.0)
• CVE-2025-31324, NVD (NIST)
• CVE-2025-31324 dans le catalogue KEV, CISA

Crédits photo

• Image en une : Proliant380g5 3, par exlex, CC BY-SA 3.0, via Wikimedia Commons (recadrée)
• Image dans l’article : HP ProLiant DL580 G7 in 2023, par Btrs, CC BY-SA 4.0, via Wikimedia Commons (recadrée)