Celah SAP NetWeaver Visual Composer CVE-2025-31324

Celah SAP NetWeaver Visual Composer CVE-2025-31324 adalah kelemahan unggah file tanpa otorisasi dengan skor CVSS 10,0 yang menurut Mandiant sudah dieksploitasi sejak paling lambat pertengahan Maret 2025. Pelaku menanam web shell JSP di server yang rentan, lalu gelombang kedua penyerang oportunistik memanfaatkan web shell yang sudah ada.

Ringkasan Celah SAP NetWeaver CVE-2025-31324

• CVE: CVE-2025-31324.
• Produk: SAP NetWeaver Visual Composer, komponen Metadata Uploader di server pengembangan Visual Composer (VCFRAMEWORK 7.50 menurut catatan CVE).
• Jenis: kurangnya pemeriksaan otorisasi yang memungkinkan unggah file berbahaya ke path tertentu di server. CISA mengklasifikasikannya sebagai unrestricted file upload.
• CVSS: 10,0 (Critical, CVSS 3.1), dinilai oleh SAP sebagai CNA pada catatan CVE.
• Status eksploitasi: dieksploitasi di dunia nyata. Mandiant menyebut eksploitasi dimulai paling lambat pertengahan Maret 2025. Masuk CISA KEV pada 29 April 2025.
• Perbaikan: SAP mengungkapkannya pada 24 April 2025 dengan memperbarui bulletin Security Patch Day April 2025. Cek SAP Note terkait dan terapkan patch.

Apa yang Terjadi pada Zero-Day SAP NetWeaver

SAP NetWeaver adalah platform aplikasi yang menjalankan banyak sistem ERP perusahaan. Pada Maret 2025 penyerang mulai memanfaatkan celah Visual Composer untuk mengunggah file ke server tanpa autentikasi. Pada 24 April 2025 SAP mengungkapkan celah itu, dan CISA memasukkannya ke KEV lima hari kemudian dengan batas patch 20 Mei untuk lembaga federal AS. Menurut SecurityWeek yang mengutip Shadowserver, lebih dari 400 server tercatat rentan pada 28 April, angka yang diamati sempat melonjak hingga lebih dari 3.400 sebelum 1 Mei, dan pada awal Mei masih ada lebih dari 200 instans NetWeaver rentan yang dapat diakses dari internet.

ReliaQuest mengamati eksploitasi pada sistem yang sudah memasang patch terbaru saat itu, dan SecurityWeek menyebut aktivitas tersebut dikaitkan dengan broker akses awal (initial access broker). Penyerang menanam web shell JSP di direktori root yang memungkinkan eksekusi kode, pengiriman muatan tambahan, dan pergerakan lateral. Onapsis memperingatkan adanya gelombang kedua pada 5 Mei, ketika pelaku lain yang oportunistik menggunakan ulang web shell dari serangan pertama pada sistem yang masih rentan.

Siapa yang Terdampak dan Mengapa ERP Menjadi Target

Organisasi yang memakai SAP NetWeaver dengan Visual Composer aktif terdampak. Di Indonesia, SAP lazim dipakai organisasi besar untuk keuangan, rantai pasok, dan SDM. ERP menyimpan data yang paling bernilai dan sering terhubung ke banyak sistem lain. Sistem yang dibobol bisa menjadi pijakan menuju jaringan internal, pencurian data, atau persiapan pemerasan, seperti yang terlihat pada kasus Oracle E-Business Suite.

Cara Mengecek dan Mitigasi SAP NetWeaver

1. Inventarisasi. Cari semua sistem NetWeaver Java dan tentukan apakah Visual Composer terpasang dan aktif.
2. Patch. Terapkan SAP Note untuk CVE-2025-31324 serta patch SAP terbaru.
3. Nonaktifkan bila tidak dipakai. Bila Visual Composer tidak dibutuhkan, batasi atau hapus komponennya.
4. Batasi paparan. Jangan buka sistem SAP ke internet kecuali perlu. Gunakan VPN atau reverse proxy dengan pembatasan path.
5. Cari web shell. Meski sistem sudah ditambal, periksa apakah ada berkas JSP atau berkas lain yang bisa dieksekusi di direktori web yang tidak seharusnya, serta proses yang menjalankan perintah dari proses server aplikasi. Onapsis bersama Mandiant merilis pemindai indikator kompromi open-source, dan Onapsis memperbarui aturan YARA untuk mendeteksi akses web shell.
6. Anggap kompromi bila ada temuan. Isolasi server, simpan bukti, ganti kredensial yang tersimpan di sistem, dan libatkan tim respons insiden.

Patch yang dipasang setelah eksploitasi tidak menghapus web shell yang sudah tertanam. Itulah mengapa langkah berburu jejak sama pentingnya dengan patching. Lihat prinsip prioritas pada CISA KEV dan konsep umum kerentanan zero-day.

Memahami Jenis Celah Unggah File dan Pelajarannya

Kelas celah ini terdengar sederhana namun berdampak besar. Ketika sebuah endpoint menerima file tanpa memeriksa siapa pengirimnya dan apa isinya, penyerang dapat menaruh berkas yang kemudian dijalankan oleh server. Web shell adalah berkas kecil di server web yang memberi penyerang kendali jarak jauh lewat permintaan HTTP biasa. Karena tampak seperti trafik web normal, web shell sering luput dari firewall dan baru terdeteksi lewat pemindaian berkas atau perilaku proses.

Ada tiga pelajaran utama dari kasus ini. Pertama, komponen yang jarang dipakai, seperti Visual Composer di banyak instalasi, tetap menjadi permukaan serangan selama masih aktif. Kedua, jendela waktu antara eksploitasi pertama dan pengungkapan bisa berminggu-minggu, sehingga sistem yang baru ditambal pun mungkin sudah dibobol. Ketiga, gelombang kedua oleh pelaku oportunistik membuktikan bahwa web shell yang tertinggal menjadi aset bagi siapa pun yang menemukannya. Tim keamanan perlu memasukkan sistem ERP ke dalam inventaris, pemindaian rutin, dan pemantauan integritas berkas, bukan hanya mengurus server web biasa. Pendekatan ini sejalan dengan vulnerability assessment yang dilakukan berkala.

Bagi pengelola SAP di Indonesia, langkah praktisnya adalah memetakan siapa pemilik tiap sistem NetWeaver, memastikan ada jendela patch yang disepakati dengan bisnis, dan menyiapkan prosedur darurat bila celah baru dieksploitasi. Sistem ERP jarang bisa dimatikan sembarang waktu, tetapi justru karena itu perencanaan patch darurat harus disiapkan sebelum kejadian.

Linimasa Singkat

• Pertengahan Maret 2025: eksploitasi paling awal yang diketahui menurut Mandiant.
• 24 April 2025: SAP mengungkapkan celah.
• 28 April 2025: Shadowserver menghitung lebih dari 400 server rentan. 29 April: KEV.
• Awal Mei 2025: pemindai open-source Onapsis dan Mandiant dirilis. 5 Mei: peringatan gelombang kedua dari Onapsis.

Baca juga: Celah WSUS CVE-2025-59287 dan Zero-Day Exchange OWA.

Pertanyaan yang Sering Diajukan

Mengapa artikel tentang celah 2025 masih relevan pada 2026?

Karena web shell yang tertinggal dan sistem yang belum ditambal terus dimanfaatkan, dan kasus ini menjadi contoh utama risiko ERP yang menghadap internet. Informasi ini mengacu pada laporan SecurityWeek dan CISA.

Apakah patch menghapus web shell?

Tidak. Patch menutup celah, tetapi web shell yang sudah ditanam tetap berjalan sampai ditemukan dan dihapus.

Siapa yang berada di balik serangan?

Laporan yang dikutip di sini hanya menyebut aktivitas yang dikaitkan dengan broker akses awal dan pelaku oportunistik, tanpa atribusi final ke satu kelompok. Jangan menyimpulkan lebih dari itu.

Kesimpulan

Per 29 Oktober 2026, pelajaran dari CVE-2025-31324 tetap sama: patch SAP segera, batasi paparan, dan berburu web shell, bukan hanya menambal. Bacaan teknis ada pada laporan SecurityWeek dan pengumuman CISA. Bila Anda memerlukan asesmen paparan sistem ERP, Linuxhackingid menyediakan layanan pengujian keamanan yang dilakukan dengan izin tertulis.