红色警报！SAP核心产品曝'满分'漏洞，所有NetWeaver用户必须立即行动

企业软件巨头SAP SE发布紧急安全更新，修复其NetWeaver Visual Composer产品中一个CVSS评分达10.0的严重漏洞。据安全研究人员证实，该漏洞已被黑客用于部署恶意webshell，可能危及全球众多财富500强企业和政府机构的核心系统。

ReliaQuest安全团队在4月22日首次发现该漏洞（后被正式编号为CVE-2025-31324），初期误判为远程文件包含(RFI)漏洞。经过深入分析，研究人员确认这实际是一个危险程度更高的无限制文件上传漏洞，攻击者可直接向目标系统植入任意恶意文件。值得注意的是，该漏洞与2017年曝光的CVE-2017-9884存在技术关联性，后者曾导致拒绝服务攻击和代码执行风险。

"NetWeaver是企业定制化Web应用的核心平台，"Bambenek Consulting总裁John Bambenek强调，"这些系统往往直接暴露在互联网上，存储着企业最敏感的交易数据和资源信息，自然成为黑客的首要目标。"

安全专家提出多层次防御建议：

1. 立即安装SAP官方补丁

2. 部署具备RFI攻击检测能力的Web应用防火墙

3. 启用终端检测响应(EDR)系统监控webshell活动

4. 禁用已弃用的Visual Composer组件（自2015年起不再维护）

Qualys安全专家Mayuresh Dani特别警告："考虑到NetWeaver平台将于2027年终止支持，企业应即刻制定迁移计划，同时加强对系统异常行为的实时监控。"