- CVE-2025-59287 és una vulnerabilitat RCE crítica a WSUS que permet execució de codi remot amb privilegis de sistema mitjançant deserialització insegura.
- Els atacs exploten instàncies WSUS exposades a ports 8530/8531, usen PowerShell per a reconeixement i exfiltren dades a serveis com webhook.site.
- La mitigació passa per aplicar el pegat fora de banda de Microsoft, limitar l'exposició de WSUS i monitoritzar processos com ara wsusservice.exe i w3wp.exe.
- La manca de segmentació i de bones pràctiques de seguretat multiplica l'impacte de la vulnerabilitat i pot afectar tota la cadena de subministrament de pegats.
La recent vulnerabilitat RCE a WSUS registrada com a CVE-2025-59287 ha encès totes les alarmes en departaments de TI, administracions públiques i empreses que depenen de l'ecosistema Microsoft per gestionar els seus pegats. No estem davant d'un error menor: es tracta d'un problema de deserialització insegura que permet a un atacant remot i no autenticat executar codi amb privilegis de sistema a servidors crítics.
En aquest article trobaràs una explicació completa, pràctica i aterrada sobre què passa exactament amb CVE-2025-59287 a WSUS , com es va descobrir, per què el primer pegat va ser insuficient, quines tècniques d'atac s'estan observant al món real, quins sistemes estan afectats, quines mesures immediates has d'aplicar i com pots donar suport a eines de seguretat.
Context i gravetat de la vulnerabilitat RCE a WSUS (CVE-2025-59287)
El 14 d'octubre del 2025 Microsoft va publicar el seu paquet habitual d'actualitzacions mensuals, incloent-hi una correcció parcial per a una vulnerabilitat crítica d'execució remota de codi (RCE) al Windows Server Update Services . Tot i això, aquesta primera actualització no tancava completament la decisió, per la qual cosa el 23 d'octubre Microsoft va haver de llançar una actualització fora de banda (OOB) d'emergència específicament orientada a mitigar la bretxa als serveis web de WSUS.
Poques hores després d'alliberar-se l'actualització d'emergència, diversos equips de recerca, com ara Unit 42 de Palo Alto Networks i altres proveïdors de seguretat, van començar a observar activitat d'explotació real a servidors WSUS exposats . L'Agència de Seguretat de Ciberseguretat i Infraestructura dels EUA (CISA) va afegir CVE-2025-59287 al seu catàleg de vulnerabilitats explotades de forma coneguda (KEV) el 24 d'octubre, fet que confirma que no es tracta d'una amenaça teòrica, sinó d'una fallada que ja estan aprofitant actors maliciosos.
La vulnerabilitat s'ha catalogat amb una puntuació CVSSv3 de 9,8 , el rang més alt per a fallades crítiques. Permet que un atacant remot no autenticat executi codi arbitrari amb privilegis de SYSTEM al servidor WSUS afectat , convertint-lo en un punt de suport privilegiat dins de la xarxa corporativa. Des d'aquí, la porta queda oberta a desplegaments de codi maliciós massiu, ransomware, robatori de credencials o manipulació del cicle d'actualitzacions.
Què és WSUS i per què és un objectiu tan sensible
Windows Server Update Services (WSUS) és el component que permet a les organitzacions centralitzar la descàrrega, aprovació i distribució de pegats de Microsoft cap als equips client. És, a la pràctica, la peça que orquestra bona part de la higiene de pegats de la infraestructura Windows d'una empresa.
Precisament per aquest rol tan estratègic, un WSUS compromès es converteix en un vector ideal per estendre intrusions a tota la xarxa . Qui controla WSUS pot injectar actualitzacions malicioses, bloquejar pegats de seguretat, modificar la cadència de desplegament o utilitzar el servidor com a pivot per moure's lateralment pel domini.
És important remarcar que el rol de servidor WSUS no està activat per defecte al Windows Server . Només els equips on s'ha instal·lat i configurat aquest rol es troben en risc directe. Tot i així, plataformes com Cortex Xpanse han identificat al voltant de 5.500 instàncies de WSUS exposades a Internet, cosa que dóna una idea de la mida potencial de la superfície d'atac global.
Detalls tècnics de CVE-2025-59287: deserialització insegura i RCE
El cor del problema a CVE-2025-59287 resideix en una deserialització insegura de dades no fiables dins dels serveis web de WSUS . De manera resumida, WSUS processa certs objectes d'autorització (cookies i estructures usades als serveis de client i de reporti) amb mecanismes de serialització de .NET que no verifiquen correctament el tipus i contingut del que deserialitzen.
Entre els punts crítics identificats destaca el tractament de l'objecte AuthorizationCookie associat a determinades peticions SOAP. En rebre sol·licituds especialment manipulades cap a endpoints de WSUS, el servidor intenta desxifrar i deserialitzar dades controlades per l'atacant mitjançant BinaryFormatter o SoapFormatter , ambdós components de .NET coneguts des de fa anys per la seva perillositat quan es fan servir amb dades no fiables.
Un escenari típic d'atac consisteix a dirigir una petició maliciosa cap a un endpoint com a /ClientWebService/Client.asmx o cap als serveis de reporti (ReportingWebService). En el moment que el servidor WSUS processa la galeta o el payload SOAP i executa BinaryFormatter.Deserialize() o rutes equivalents, es dispara una cadena d'objectes creada ad hoc per l'atacant. Aquesta cadena aprofita constructors legítims i mètodes especials (com deserialitzadors personalitzats) per acabar llançant ordres arbitràries amb els permisos del servei WSUS , és a dir, amb nivell de SYSTEM.
La vulnerabilitat afecta sistemes Windows Server que tenen implantat el rol de WSUS, incloent-hi Windows Server 2012, 2012 R2, 2016, 2019, 2022 (inclosa l'edició 23H2) i 2025 . Aquells servidors que no exposen WSUS o que no tenen aquest rol habilitat no són vulnerables a aquesta fallada en concret, encara que òbviament poden estar afectats per altres problemes de seguretat.
Abast real dels atacs detectats i metodologia dels actors
Després de la publicació d'un exploit de prova de concepte (PoC) per a CVE-2025-59287 , diferents proveïdors van començar a veure escanejats i atacs automatitzats dirigits específicament a instàncies de WSUS accessibles des d'Internet. Aquestes campanyes solen formar part de fases inicials d'intrusions més àmplies, sovint catalogades com a pre-ransomware , on l'objectiu és guanyar accés, consolidar persistència i explorar l'entorn abans de llançar un xifratge massiu.
A la fase d'accés inicial, els atacants se centren en els ports TCP 8530 (HTTP) i 8531 (HTTPS) , usats comunament per WSUS, encara que en algunes configuracions s'utilitzen també els ports 80 o 443. Es detecta escanejament a gran escala per identificar quines instàncies responen com a servidors WSUS i, a continuació, s'insereix la instal·lació.
Un cop aconsegueixen executar codi al servidor, el normal és que apareguin processos de cmd.exe i powershell.exe penjant de processos com wsusservice.exe o w3wp.exe (el procés d'IIS). S'han observat cadenes de processos forenses de l'estil wsusservice.exe → cmd.exe → cmd.exe → powershell.exe o w3wp.exe → cmd.exe → cmd.exe → powershell.exe molt indicatives d'execució d'ordres sota el context del servei WSUS o del pool d'aplicacions associat.
La càrrega útil inicial sol centrar-se en recopilar informació sobre l'entorn, executant ordres com ara whoami , net user /domain o ipconfig /all per mapejar ràpidament privilegis, estructura del domini i topologia de xarxa. Amb aquestes dades, els atacants valoren possibles moviments laterals, objectius de gran valor i la viabilitat d'escalar la intrusió.
En molts incidents s'ha vist com la informació recopilada s'exfiltra fent ús de serveis aparentment benignes com a webhook[.]site . Mitjançant ordres de PowerShell que usen Invoke-WebRequest (o recorren a curl.exe de forma alternativa), els actors envien la sortida de les ordres cap a URL d'un sol ús d'aquest servei, cosa que els permet comprovar de manera senzilla que l'explotació ha tingut èxit i rebre dades interessants sense aixecar massa sospites.
Escenaris d'atac concrets i cadena d'explotació
Els informes tècnics apunten diversos escenaris d'atac recurrents al voltant de CVE-2025-59287. En un d'ells, després d'explotar la vulnerabilitat, l'atacant utilitza el procés d'IIS (w3wp.exe) per llançar una consola d'ordres i des d'aquí executar PowerShell per descarregar dos fitxers: un executable, per exemple dcrsproxy.exe , i un arxiu auxiliar com rcpkg.db . Aquests fitxers solen actuar com a càrrega útil principal i component de configuració o empaquetat.
En un altre escenari, lobjectiu immediat és verificar els privilegis i la presència de la vulnerabilitat en un entorn concret. Per fer-ho, l'atacant executa whoami des del procés compromès i canalitza la sortida directament a una petició HTTP mitjançant curl cap a una URL de webhook[.]site, confirmant així si està operant amb permisos de SYSTEM i si el servidor respon segons el que s'esperava.
S'han documentat també casos on es recorre a rutines d'exfiltració en memòria . En lloc de deixar un rastre evident a la línia d'ordres, l'atacant executa un script de PowerShell codificat que recopila llista d'interfícies, configuració de xarxa, informació del domini i altres dades sensibles, enviant-los a un webhook de manera sigil·losa. Això complica la detecció basada purament en anàlisi de comandes o logs tradicionals.
En un quart tipus d'escenari, l'atacant fa ús de senyalització DNS i msiexec . Aprofitant el procés d'IIS, es fan consultes DNS específiques per contactar amb infraestructura controlada per l'adversari i es descarrega i instal·la un paquet MSI maliciós mitjançant msiexec . Posteriorment es recullen dades de sistema i xarxa per establir un canal C2 (ordre i control) persistent, amb vista a una campanya de llarga durada.
Tot això encaixa amb la idea que moltes d'aquestes intrusions són la fase prèvia a atacs de ransomware operats per humans: primer s'automatitza l'accés i el reconeixement, després arriben les eines d'administració remota, el robatori de credencials i, finalment, el xifratge quan l'atacant ja sap que la jugada pot ser rendible.
Actualitzacions de seguretat de Microsoft i canvis a WSUS
Per abordar CVE-2025-59287, Microsoft ha publicat diferents actualitzacions acumulatives i de pila de manteniment (SSU) que combinen les correccions necessàries tant per al sistema operatiu com per a WSUS en si. En el cas concret del Windows Server 2022, per exemple, la correcció forma part d'una actualització de qualitat en què s'esmenta expressament la solució de la vulnerabilitat RCE als serveis web d'informes de WSUS.
A més del pegat original d'octubre, Microsoft va llançar una actualització fora de banda (OOB) en què recalca que el problema es corregeix als serveis de reporti de WSUS, i que aquesta mateixa correcció s'estén a les imatges de contenidor del Windows Server. Al món dels contenidors Windows, en no existir una pila de manteniment interna, les imatges es recompilen i publiquen mensualment amb les noves correccions, per la qual cosa és fonamental reconstruir les imatges de contenidor basades en Windows Server per incorporar els pegats.
Com a part de la mitigació, Microsoft ha introduït també un canvi funcional important: WSUS deixa de mostrar temporalment els detalls derror de sincronització en els seus informes . Aquesta funcionalitat s'ha retirat per evitar que la mateixa via que permetia la deserialització insegura se segueixi explotant. Tot i que pugui resultar incòmode per al diagnòstic de problemes de sincronització, és una mesura necessària mentre s'afina la solució definitiva.
Per revisar els fitxers concrets inclosos en les actualitzacions, Microsoft posa a disposició llistats de fitxers per a cada paquet acumulatiu (per exemple, l'actualització 5070892) i per a les SSU corresponents (com el KB5066781 al Windows Server 2022, versió 20348.4285). Aquests llistats ajuden a verificar que el pegat s'ha instal·lat correctament i que totes les dependències del WSUS han estat actualitzades.
Programari afectat, versions i relació amb altres vulnerabilitats
La vulnerabilitat RCE de WSUS afecta específicament servidors Windows on el rol WSUS està habilitat i configurat . Versions com Windows Server 2012, 2012 R2, 2016, 2019, 2022 (inclosa 23H2) i 2025 entren dins del conjunt de productes vulnerables, sempre que actuïn com a servidors d'actualització.
Encara que CVE-2025-59287 és la protagonista a WSUS, no és l'únic problema greu de seguretat recent a l'ecosistema Microsoft. A nivell d'escriptori i serveis remots, s'han reportat altres vulnerabilitats d'execució remota de codi com ara CVE-2025-30397, CVE-2025-29966 i CVE-2025-29967, que afecten des del motor de scripting de Microsoft fins al Client d'Escriptori Remot i Remote Desktop.
Per exemple, CVE-2025-30397 és una vulnerabilitat de type confusion al motor d'scripts, ja explotada activament, mentre que CVE-2025-29966 i CVE-2025-29967 descriuen desbordaments de memòria intermèdia a la pila en components d'Escriptori Remot, amb potencial de Escriptori Remot. Aquestes vulnerabilitats afecten Windows 10, Windows 11 i versions de Windows Server des de 2008 R2 fins a 2022 , a més dels serveis Remote Desktop Gateway.
Tot aquest panorama reforça una idea clau: la superfície d'atac de Microsoft creix i es fa cada cop més complexa , amb més d'un miler de vulnerabilitats reportades en productes Microsoft en un sol any, segons l'anàlisi com el Microsoft Vulnerabilities Report de BeyondTrust. En aquest context, mantenir WSUS exposat a Internet sense segmentació ni pegats actualitzats és una aposta massa arriscada.
Impacte potencial: cadena de subministrament, pegats i continuïtat de negoci
Si un atacant aconsegueix explotar amb èxit CVE-2025-59287, l'impacte no es limita al servidor WSUS. En obtenir execució de codi amb privilegis de sistema, teniu la capacitat d' interferir en el procés d'actualització de tots els equips Windows gestionats per aquest WSUS . Això inclou la possibilitat d'injectar binaris maliciosos, bloquejar la distribució de pegats crítics o distribuir configuracions alterades.
Això converteix la vulnerabilitat en un problema directe de seguretat de la cadena de subministrament digital interna . La confiança que els equips client dipositen a WSUS com a origen legítim d'actualitzacions es transforma en una arma a les mans de l'atacant. Per això tants organismes de ciberseguretat insisteixen a tractar aquests servidors com a actius d'alta criticitat i no com a simples peces d'infraestructura secundària.
En entorns corporatius i d'administració pública, una intrusió a través de WSUS podria derivar en parades de servei massives, xifratge de fitxers i robatori de dades sensibles . La facilitat amb què es pot automatitzar l'explotació (gràcies a PoC públics i scripts reutilitzables) fa que fins i tot grups amb menys recursos tècnics es puguin llançar a buscar servidors vulnerables.
A més, l'exposició innecessària de WSUS a Internet o zones de xarxa poc controlades es considera una mala pràctica de segmentació i gestió d'actius . El que hauria de ser un servei intern es converteix en un objectiu de primera fila accessible des de qualsevol punt de la xarxa, cosa que eleva el risc que una vulnerabilitat localitzada acabi en una bretxa sistèmica a nivell d'organització.
Mesures de mitigació provisionals i recomanacions de Microsoft
Microsoft i diferents equips de resposta han publicat una sèrie de mesures provisionals per a les organitzacions que, per motius operatius, no poden desplegar immediatament l'actualització fora de banda del 23 d'octubre. Aquestes mesures no substitueixen el pegat, però ajuden a guanyar temps reduint la superfície d‟atac més directa.
La recomanació més contundent consisteix a deshabilitar el rol de servidor WSUS als equips afectats. En fer-ho, el vector datac desapareix, però també ho fa la capacitat del servidor per gestionar i distribuir actualitzacions als clients. És una mesura dràstica, útil en entorns on es pugui assumir temporalment aquest impacte mentre acaba d'organitzar el desplegament de pegats o es migra a un altre servidor.
Una altra mitigació rellevant passa per bloquejar tot el trànsit entrant cap als ports TCP 8530 i 8531 al tallafoc de host (o en tallafocs perimetrals, segons el disseny de xarxa). En tallar l'accés als ports habituals de WSUS, s'interromp el vector d'explotació remot, però també s'impedeix l'operació regular del servei, per això cal valorar aquesta mesura en funció de la criticitat del cicle de pegats a cada moment.
Juntament amb aquestes dues mitigacions, és fonamental restringir l'exposició de WSUS a Internet sempre que sigui possible i segmentar-ne l'accés des de xarxes internes només als segments necessaris (per exemple, subxarxes de clients específics, servidors de gestió, etc.). La idea és que, fins i tot si hi ha una altra vulnerabilitat semblant en el futur, no hi hagi un camí directe entre Internet i el servei.
Microsoft insisteix també que aquestes mitigacions són temporals i que el curs d'acció més segur passa per aplicar com més aviat millor les actualitzacions de seguretat corresponents , verificant la instal·lació de la SSU més recent i de la LCU (actualització acumulativa) que recull el pegat definitiu.
Detecció i cerca d'amenaces: XQL, SIEM i eines avançades
En paral·lel a l'aplicació de pegats i mitigacions, és crucial que els equips de seguretat busquin possibles signes d'explotació de CVE-2025-59287 als seus entorns . Alguns proveïdors han publicat consultes i regles llestes per utilitzar en plataformes EDR, XDR i SIEM per identificar comportaments anòmals associats a aquesta vulnerabilitat.
Per exemple, els serveis de Cerca d'Amenaces Gestionada d'Unit 42 han compartit una consulta XQL per a Cortex XDR que filtra esdeveniments de creació de processos en sistemes Windows i se centra en aquells que tenen com a progenitor wsusservice.exe o w3wp.exe amb el pool d'aplicacions de WSUS. La consulta exclou processos legítims i freqüents (com conhost.exe, vbc.exe, svchost.exe associat a BITS, etc.) per centrar-se en possibles processos de cmd.exe o powershell.exe disparats de manera sospitosa.
La lògica darrere d'aquestes regles és senzilla però efectiva: un servidor WSUS no hauria d'estar llançant shells d'ordres o instàncies de PowerShell de manera continuada . Quan això passa i, a més, s'observen connexions sortints cap a serveis com webhook[.]site, dominis poc habituals o descàrregues d'executables des d'ubicacions externes, l'alerta s'ha de disparar.
Plataformes com la SOC Prime Platform han publicat contingut de detecció específic per a CVE-2025-59287, compatible amb múltiples formats de SIEM, EDR i data lakes, mapejat al marc MITRE ATT&CK. Aquestes regles inclouen mapeig de tècniques (per exemple, T1190 per a explotació d'aplicacions exposades a Internet), configuracions d'auditoria recomanades, enllaços CTI i altres metadades que en faciliten la integració en diferents entorns defensius.
A més, eines basades en IA com Uncoder AI permeten transformar indicadors de compromís (IOCs) i descripcions d'amenaces a consultes llistes per a SIEM o XDR, generar diagrames d'Attak Flow i traduir contingut entre diferents plataformes. En el cas de CVE-2025-59287, això facilita que un equip de defensa pugui partir d'un informe tècnic i posar fi a consultes adaptades al seu stack tecnològic en molt poc temps.
Proteccions específiques de productes de seguretat i resposta a incidents
Diferents fabricants també han actualitzat els seus productes per detectar i bloquejar intents d'explotació de CVE-2025-59287. En el cas de Palo Alto Networks, per exemple, el mòdul Advanced Threat Prevention incorpora firmes de Threat Prevention (com les 96657 i 96684) orientades a parar trànsit maliciós relacionat amb aquesta vulnerabilitat quan se segueixen les millors pràctiques de configuració.
Per la seva banda, solucions com Cortex XDR i XSIAM ajuden a frenar l'activitat posterior a l'explotació gràcies a un enfocament de protecció a diverses capes: detecció de processos inusuals, anàlisi de comportament, bloqueig de scripts sospitosos i resposta automatitzada. S'ha publicat fins i tot un playbook específic per a CVE-2025-59287 que automatitza tasques com la identificació de hosts WSUS, l'execució de consultes XQL de cerca, l'aïllament de servidors compromesos (prèvia aprovació d'un analista) i el bloqueig d'indicadors maliciosos identificats.
En els casos en què ja se sospiti d'un compromís o hi hagi activitat anòmala clara, és recomanable contactar amb equips especialitzats de Resposta a Incidents . Proveïdors com Unit 42 ofereixen números de contacte per a diferents regions (Amèrica del Nord, Regne Unit, Europa i Orient Mitjà, Àsia, Japó, Austràlia i Índia) per donar suport urgent o fer avaluacions proactives de risc abans que la situació s'agreugi.
Entre els indicadors de compromís que s'han publicat fins ara, destaca la URL de webhook[.]site hxxp://webhook[.]site/22b6b8c8-2e07-4878-a681-b772e569aa6a , usada en alguns atacs per exfiltrar informació o confirmar l'explotació. Encara que els adversaris poden canviar fàcilment aquests identificadors, serveix com a exemple de patró a vigilar als logs de trànsit sortint.
Bones pràctiques d'enduriment i lliçons apreses
Més enllà d'aplicar el pegat, la situació generada per CVE-2025-59287 deixa diverses lliçons de seguretat que cal interioritzar. La primera és que no té sentit exposar innecessàriament serveis interns com WSUS a Internet . Si un servidor està dissenyat per servir pegats a equips d'una xarxa interna, és raonable mantenir-lo accessible només des d'aquesta xarxa o des de segments molt concrets, protegits per tallafocs i llistes de control d'accés.
Una altra reflexió important és que la mala higiene de seguretat i la manca de segmentació de xarxa són les que transformen una vulnerabilitat tècnica en una catàstrofe organitzativa. La decisió de WSUS és greu per si mateix, però el seu impacte es multiplica quan el servidor es troba en una posició d'alta confiança i amb accés directe a gran part de la infraestructura, sense controls compensatoris que limitin el moviment lateral.
En aquest sentit, convé revisar periòdicament l'inventari d'actius, identificar quins serveis estan exposats i documentar quins rols tenen dins de la cadena de subministrament interna. A partir d'aquí, és més fàcil aplicar polítiques de principi de mínim privilegi, segmentació per funcions i monitorització reforçada en els punts més crítics, com ara un WSUS, un controlador de domini o un Remote Desktop Gateway.
Finalment, cal no oblidar que l'entorn Microsoft viu una constant evolució de vulnerabilitats, amb noves fallades en motors de scripting, RDP, navegadors o components de servidor. Prioritzar el pegat de vulnerabilitats crítiques ja explotades al món real , com CVE-2025-59287, i combinar-lo amb capacitats de detecció avançada i resposta automatitzada és, a hores d'ara, una peça imprescindible de qualsevol estratègia de ciberseguretat mínimament madura.
Tot el que envolta la vulnerabilitat RCE a WSUS deixa clar que un únic servidor mal configurat o sense pegats pot convertir-se en la baula feble que comprometi tota l'organització , per la qual cosa revisar l'exposició de WSUS, desplegar les actualitzacions de seguretat, monitoritzar l'activitat de processos associats i reforçar la segmentació de xarxa són passos que convé fer sense demora.