1千多臺SAP NetWeaver伺服器可能遭入侵，駭客利用風險值滿分漏洞得逞

4月24日SAP緊急發布應用程式伺服器NetWeaver更新，修補風險值達到10分滿分的重大漏洞CVE-2025-31324，通報此事的資安業者ReliaQuest在調查資安事故的過程察覺這項漏洞，後續有多家資安業者Onapsis、watchTowr表明觀察到相關攻擊行動的跡象，但究竟有多少NetWeaver伺服器受害？有新的調查結果出爐。

28日Shadowserver基金會指出，他們確認有454個IP位址曝險，其中美國有149個最多，印度、澳洲有50個、37個居次。

但後續有研究人員指出，實際影響範圍可能更為廣泛。網路安全搜尋引擎業者Onyphe向資安新聞網站Bleeping Computer透露，他們確認有1,284臺伺服器存在CVE-2025-31324，其中474臺已被入侵，駭客植入了Web Shell。附帶一提的是，有部分存在漏洞的NetWeaver伺服器，是20家財星500大或全球前500大企業所有，且有不少已經有遭到入侵的跡象。

另一家資安業者Nextron Systems指出，截至目前為止，他們確認超過1,100套NetWeaver系統已經被入侵，並強調這類系統幾乎都建置於大型企業及關鍵基礎設施，鮮少在其他環境應用，因此影響的範圍可能會相當廣泛。

Nextron Systems呼籲IT人員，應該藉由本機掃描來確認是否遭到入侵，原因是他們分析另一家資安業者Onapsis提供的外部掃描工具，發現該工具初期只針對檔名為helper.jsp與cache.jsp的Web Shell進行檢測，然而，Onapsis後續加入第三種檔案名稱nzwcnktc.jsp的規則，這代表駭客可能已經開始採用隨機命名的Web Shell作案。Nextron Systems指出，這代表外部檢測工具難以識別所有利用這項漏洞的攻擊行動，因此IT人員必須從內部進行徹底的掃描，才能找出相關威脅。