SAP NetWeaver の無制限ファイルアップロード（CVE-2025-31324）― 認証なしで実行可能なバイナリを置ける。同製品はKEVに11件載っている

1置けることと、実行されることのあいだ

ファイルをアップロードできること自体は多くのシステムが備える機能である。危険になるのは、置ける場所と置けるファイルの種類に制限がないときだ。実行可能なバイナリを、サーバが実行する場所へ置ければ、あとはそれが動く機会を待つだけになる。無制限という語が示しているのは、拡張子や中身の検査、保存先の制限といった、置いたものが実行されないようにするための仕組みが働いていない状態である。ここでは認証も要らないと記載されている。

2基幹業務の土台であるということ

NetWeaver は、企業の基幹業務を動かすシステムの土台として広く使われている。会計、購買、在庫、人事といった業務がその上に載っており、止まれば業務そのものが止まる。侵害された場合に問題になるのは情報の持ち出しだけでなく、業務データの改ざんや停止も含まれる。

更新のために止めるにも調整が要る種類のシステムで、是正期限が21日に設定されていることは、その調整の時間を織り込んだ設定と読める。

3同じ製品が11件、うちランサム既知は2件だけ

2026年8月31日時点で当サイトが保持するKEVの記録には、NetWeaver を製品名とするものが11件ある。2021年11月に4件が同じ日に追加され、2022年6月に3件、2025年3月に1件、そして2025年4月と5月に1件ずつ加わった。

この11件のうち、ランサムウェアでの利用が既知と記録されているのは2025年の2件だけで、いずれもVisual Composer Metadata Uploader に関するものである。同じ製品でも、悪用のされ方は時期によって変わる。台帳を製品名で束ねると、その変化が見えてくる。

4置けることと、実行されること

ファイルをアップロードできること自体は多くのシステムが備える機能です。危険になるのは、置ける場所と置けるファイルの種類に制限がないときです。

NetWeaver は、企業の基幹業務を動かすシステムの土台として広く使われています。会計、購買、在庫、人事といった業務がその上に載っており、止まれば業務そのものが止まります。更新のために止めるにも調整が要る種類のシステムで、是正期限が21日に設定されていることは、その調整の時間を織り込んだ設定と読めます。