SAP Bajo Fuego: La Vulnerabilidad que Desató una Tormenta Global

SAP NetWeaver representa una pieza crítica en la arquitectura tecnológica de miles de organizaciones en todo el mundo. En sectores como manufactura, finanzas, energía, retail y salud, esta plataforma actúa como columna vertebral para operaciones clave. Por eso, la aparición de una vulnerabilidad crítica en su componente Visual Composer, identificada como CVE-2025-31324, provocó una reacción inmediata en los equipos de seguridad a nivel global. La falla permite a atacantes no autenticados cargar archivos JSP directamente en el servidor, facilitando ejecución remota de código, calificada con CVSS 10.

El componente ignorado que permitió el acceso

Visual Composer es una herramienta pensada para facilitar el desarrollo visual de interfaces empresariales. No debería estar expuesto. Sin embargo, la falla en su lógica de validación permitió que cualquier usuario externo, sin autenticación, subiera código ejecutable al servidor SAP. En muchos casos, la función estaba activa por defecto, o no fue deshabilitada durante instalaciones personalizadas realizadas años atrás.

Ataques secuenciales, no masivos

Uno de los grupos más activos fue Qilin, una operación RaaS de origen ruso que empaquetó un exploit funcional para venderlo como servicio en foros clandestinos. Simultáneamente, se observaron actividades atribuidas a Salt Typhoon y Volt Typhoon, actores vinculados al Estado chino, que utilizaron esta vulnerabilidad para infiltrarse en organizaciones gubernamentales, empresas tecnológicas y operadores de infraestructura crítica. El patrón fue similar: carga del archivo malicioso, despliegue de una webshell, enumeración del entorno, movimiento lateral y exfiltración de información sensible.

Un catalizador para el RaaS avanzado

La aparición de CVE-2025-31324 refuerza una tendencia clara: el ransomware como servicio ya no depende solo de ingeniería social o credenciales débiles. Ahora se apoya en exploits 0-day o n-day empaquetados profesionalmente. La disponibilidad de la vulnerabilidad en plataformas clandestinas democratizó su uso: atacantes sin gran experiencia técnica comenzaron a lanzar campañas automatizadas aprovechando el mismo vector.

Impacto en industrias estratégicas

En América Latina se detectaron múltiples intentos de explotación en organismos públicos y empresas de servicios esenciales. El sector energético reportó actividad sospechosa en módulos SAP HANA integrados con plataformas OT, incluyendo SCADA y DCS, indicando fallas en la contención de flujo de datos entre sistemas IT y OT. Empresas mineras, hospitales, universidades y operadores logísticos también figuraron entre los objetivos, con una lógica de espionaje, posicionamiento estratégico y obtención de acceso persistente.

Fallas estructurales más allá del código

En muchas organizaciones, SAP no está completamente integrado a los sistemas de monitoreo de seguridad. A menudo se trata como un sistema separado, con su propio equipo y poca interoperabilidad con herramientas de protección perimetral o SIEM. Este aislamiento funcional crea un punto ciego: se asume que SAP está controlado, cuando en realidad está desconectado del resto del ecosistema de seguridad.

Qué no dice el parche

Aplicar el parche no siempre es inmediato. Muchas organizaciones operan con versiones modificadas que no pueden actualizarse sin afectar procesos críticos. En otras, los entornos están tan interconectados que cualquier cambio implica validación cruzada entre múltiples equipos y proveedores externos. El parche corrige el vector inmediato, pero no elimina los factores de riesgo estructural: integración débil con sistemas de seguridad, deuda técnica acumulada y falta de gobernanza centralizada.

Rediseñar la arquitectura de confianza

La respuesta a esta crisis no debe limitarse a parchar una vulnerabilidad. Debe incluir una revisión profunda de cómo se estructuran las defensas alrededor de sistemas críticos. SAP y otras plataformas ERP deben integrarse activamente a las operaciones de seguridad, no como elementos aislados sino como parte del mapa de riesgo global. En última instancia, lo que está en juego es la capacidad de las organizaciones para anticiparse a amenazas que no serán obvias, ni ruidosas, ni inmediatas. Serán discretas. Pero si no se detectan a tiempo, tendrán efectos duraderos y difíciles de contener.