- CVE-2025-59287 — критическая уязвимость RCE в WSUS, которая позволяет удаленно выполнять код с системными привилегиями посредством небезопасной десериализации.
- Атаки используют экземпляры WSUS, открытые на портах 8530/8531, используют PowerShell для разведки и пересылают данные на такие сервисы, как webhook.site.
- Меры по смягчению последствий включают применение внеполосного исправления Microsoft, ограничение воздействия WSUS и мониторинг таких процессов, как wsusservice.exe и w3wp.exe.
- Отсутствие сегментации и надлежащих практик обеспечения безопасности умножает воздействие уязвимости, потенциально затрагивая всю цепочку поставок исправлений.
Недавняя уязвимость удаленного выполнения кода (RCE) в WSUS, зарегистрированная как CVE-2025-59287, вызвала тревогу в ИТ-отделах, государственных учреждениях и компаниях, которые используют экосистему Microsoft для управления обновлениями. Это не просто незначительная ошибка: это проблема небезопасной десериализации, которая позволяет удаленному неаутентифицированному злоумышленнику выполнять код с системными привилегиями на критически важных серверах.
В этой статье вы найдете полное, практичное и понятное объяснение того, что именно происходит с уязвимостью CVE-2025-59287 в WSUS , как она была обнаружена, почему первого патча оказалось недостаточно, какие методы атак наблюдаются в реальном мире, какие системы затронуты, какие незамедлительные меры следует предпринять и как можно полагаться на передовые инструменты безопасности для обнаружения попыток эксплуатации уязвимости и реагирования на них.
Контекст и серьезность уязвимости RCE в WSUS (CVE-2025-59287)
14 октября 2025 года Microsoft выпустила свой обычный ежемесячный пакет обновлений, включающий частичное исправление критической уязвимости удаленного выполнения кода (RCE) в службах обновления Windows Server . Однако это первоначальное обновление не полностью устранило уязвимость, поэтому 23 октября Microsoft пришлось выпустить экстренное внеплановое обновление, специально направленное на устранение уязвимости в веб-службах WSUS.
Всего через несколько часов после выпуска экстренного обновления несколько исследовательских групп, включая подразделение Unit 42 в Palo Alto Networks и других поставщиков решений в области безопасности, начали наблюдать реальную активность эксплойтов на уязвимых серверах WSUS . Агентство кибербезопасности и защиты инфраструктуры США (CISA) 24 октября добавило CVE-2025-59287 в свой каталог известных эксплуатируемых уязвимостей (KEV), подтвердив, что это не теоретическая угроза, а уязвимость, уже используемая злоумышленниками.
Уязвимость получила оценку CVSSv3 9,8 , наивысший возможный балл для критических уязвимостей. Она позволяет неавторизованному удалённому злоумышленнику выполнить произвольный код с привилегиями SYSTEM на заражённом сервере WSUS , фактически превращая его в привилегированную точку доступа в корпоративной сети. Отсюда открывается возможность массового распространения вредоносного ПО, атак программ-вымогателей, кражи учётных данных или манипулирования циклом обновлений.
Что такое WSUS и почему он является такой чувствительной целью?
Служба обновления Windows Server (WSUS) — это компонент, позволяющий организациям централизовать загрузку, утверждение и распространение обновлений Microsoft на клиентские компьютеры. На практике она управляет большей частью процесса обновления инфраструктуры Windows компании.
Именно из-за этой стратегической роли скомпрометированный WSUS становится идеальным вектором для распространения вторжений по всей сети . Тот, кто контролирует WSUS, может внедрять вредоносные обновления, блокировать исправления безопасности, изменять периодичность развертывания или использовать сервер в качестве точки опоры для горизонтального перемещения по домену.
Важно отметить, что роль сервера WSUS по умолчанию не включена в Windows Server . Прямому риску подвергаются только машины, на которых эта роль установлена и настроена. Тем не менее, такие платформы, как Cortex Xpanse, выявили около 5.500 экземпляров WSUS, доступных из интернета, что дает представление о потенциальном размере глобальной поверхности атаки.
Технические подробности CVE-2025-59287: небезопасная десериализация и RCE
Суть проблемы в CVE-2025-59287 заключается в небезопасной десериализации недоверенных данных в веб-службах WSUS . Вкратце, WSUS обрабатывает определенные объекты авторизации (cookie и структуры, используемые в клиентских и отчетных службах) с помощью механизмов сериализации .NET, которые некорректно проверяют тип и содержимое десериализуемых данных.
Среди выявленных критических моментов особенно выделяется обработка объекта AuthorizationCookie , связанного с некоторыми SOAP-запросами. При получении специально сформированных запросов к конечным точкам WSUS сервер пытается расшифровать и десериализовать данные, контролируемые злоумышленником, используя BinaryFormatter или SoapFormatter — компоненты .NET, известные уже много лет своей опасностью при использовании с ненадежными данными.
Типичный сценарий атаки включает в себя отправку вредоносного запроса на конечную точку, такую как /ClientWebService/Client.asmx , или к службам отчетности (ReportingWebService). Когда сервер WSUS обрабатывает cookie или SOAP-данные и выполняет BinaryFormatter.Deserialize() или аналогичные методы, запускается цепочка объектов, созданных злоумышленником. Эта цепочка использует легитимные конструкторы и специальные методы (например, пользовательские десериализаторы) для запуска произвольных команд с правами доступа службы WSUS , то есть с привилегиями уровня SYSTEM.
Уязвимость затрагивает системы Windows Server, в которых реализована роль WSUS, включая Windows Server 2012, 2012 R2, 2016, 2019, 2022 (включая версию 23H2) и 2025. Серверы, которые не предоставляют доступ к WSUS или у которых эта роль не включена, не подвержены этой конкретной уязвимости, хотя, очевидно, могут быть затронуты другими проблемами безопасности.
Фактический масштаб обнаруженных атак и методология злоумышленников
После выпуска демонстрационного эксплойта (PoC) для CVE-2025-59287 различные поставщики начали сталкиваться с автоматическими сканированиями и атаками, специально нацеленными на доступные через Интернет экземпляры WSUS. Эти кампании, как правило, являются частью начальных этапов более крупных вторжений, часто классифицируемых как атаки перед вымогательством , цель которых — получить доступ, обеспечить постоянное присутствие в системе и изучить среду перед запуском массовой атаки с использованием шифрования.
На начальном этапе доступа злоумышленники сосредотачиваются на TCP-портах 8530 (HTTP) и 8531 (HTTPS) , обычно используемых WSUS, хотя в некоторых конфигурациях также используются порты 80 или 443. Выполняется масштабное сканирование для определения того, какие экземпляры отвечают как серверы WSUS, после чего запускается полезная нагрузка, предназначенная для использования уязвимостей небезопасной десериализации.
После выполнения кода на сервере часто можно наблюдать зависание процессов cmd.exe и powershell.exe , таких как wsusservice.exe или w3wp.exe (процесс IIS). Были обнаружены цепочки процессов, подобные wsusservice.exe → cmd.exe → cmd.exe → powershell.exe или w3wp.exe → cmd.exe → cmd.exe → powershell.exe , что убедительно указывает на выполнение команд в контексте службы WSUS или связанного с ней пула приложений.
Первоначальная полезная нагрузка обычно направлена на сбор информации об окружающей среде путем выполнения таких команд, как `whoami` , `net user /domain` или `ipconfig /all` , чтобы быстро определить привилегии, структуру домена и топологию сети. Используя эти данные, злоумышленники оценивают потенциальное горизонтальное перемещение, важные цели и возможность повышения уровня вторжения.
Во многих случаях собранная информация была похищена с использованием, казалось бы, безобидных сервисов, таких как webhook[.]site . Используя команды PowerShell, которые применяют Invoke-WebRequest (или, в качестве альтернативы, curl.exe ), злоумышленники отправляют вывод команды на временные URL-адреса в этом сервисе, что позволяет им легко проверить успешность эксплойта и получить ценные данные, не вызывая особых подозрений.
Конкретные сценарии атак и цепочка эксплуатации
Технические отчеты указывают на несколько повторяющихся сценариев атак, связанных с CVE-2025-59287. В одном из них, после использования уязвимости, злоумышленник использует процесс IIS (w3wp.exe) для запуска командной строки и оттуда запускает PowerShell для загрузки двух файлов: исполняемого файла, например dcrsproxy.exe , и вспомогательного файла, такого как rcpkg.db . Эти файлы обычно выступают в качестве основной полезной нагрузки и компонента конфигурации или упаковки.
В другом сценарии непосредственная цель состоит в проверке привилегий и наличии уязвимости в конкретной среде. Для этого злоумышленник выполняет команду `whoami` из скомпрометированного процесса и перенаправляет вывод непосредственно на HTTP-запрос с помощью `curl` к URL-адресу `webhook[.]site`, тем самым подтверждая, работают ли они с привилегиями SYSTEM и отвечает ли сервер должным образом.
Также задокументированы случаи использования процедур эксфильтрации данных из оперативной памяти . Вместо того чтобы оставлять очевидный след в командной строке, злоумышленник выполняет жестко закодированный скрипт PowerShell, который собирает списки интерфейсов, сетевых конфигураций, информации о доменах и других конфиденциальных данных, незаметно отправляя их на веб-перехватчик. Это затрудняет обнаружение, основанное исключительно на традиционном анализе команд или логов.
В четвертом сценарии злоумышленник использует DNS-сигнализацию и msiexec . Используя процесс IIS, выполняются целевые DNS-запросы для связи с контролируемой противником инфраструктурой, после чего с помощью msiexec загружается и устанавливается вредоносный MSI-пакет . Затем собираются системные и сетевые данные для создания постоянного канала управления (C2) для долгосрочной кампании.
Всё это подтверждает идею о том, что многие из этих вторжений являются прелюдией к атакам программ-вымогателей, осуществляемым человеком: сначала автоматизируются доступ и разведка, затем используются инструменты удалённого администрирования, происходит кража учётных данных и, наконец, шифрование, когда злоумышленник понимает, что это может принести прибыль.
Обновления безопасности Microsoft и изменения в WSUS
Для устранения уязвимости CVE-2025-59287 компания Microsoft выпустила несколько накопительных обновлений и обновлений стека обслуживания (SSU) , которые объединяют необходимые исправления как для операционной системы, так и для самого WSUS. В частности, в случае Windows Server 2022, например, исправление является частью обновления качества, которое явно устраняет уязвимость удаленного выполнения кода (RCE) в веб-службах отчетов WSUS.
В дополнение к первоначальному октябрьскому патчу, Microsoft выпустила внеплановое обновление, подчеркивающее, что проблема исправлена в службах отчетности WSUS, и что это же исправление распространяется на образы контейнеров Windows Server. В мире контейнеров Windows, поскольку отсутствует внутренний стек обслуживания, образы пересобираются и выпускаются ежемесячно с новыми исправлениями, поэтому пересборка образов контейнеров на базе Windows Server с учетом этих патчей крайне важна.
В рамках мер по устранению проблемы Microsoft также внесла существенное функциональное изменение: WSUS временно прекращает отображение подробной информации об ошибках синхронизации в своих отчетах . Эта функция была удалена, чтобы предотвратить дальнейшую эксплуатацию того же метода, который позволял осуществлять небезопасную десериализацию. Хотя это может быть неудобно для диагностики проблем синхронизации, это необходимая мера, пока разрабатывается постоянное решение.
Для проверки конкретных файлов, включенных в обновления, Microsoft предоставляет списки файлов для каждого накопительного обновления (например, обновления 5070892) и для соответствующих SSU (например, KB5066781 в Windows Server 2022, версия 20348.4285). Эти списки помогают убедиться в правильности установки исправления и обновлении всех зависимостей WSUS.
Затронутое программное обеспечение, версии и связь с другими уязвимостями
Уязвимость WSUS RCE затрагивает в первую очередь серверы Windows, где роль WSUS включена и настроена . К уязвимым версиям относятся Windows Server 2012, 2012 R2, 2016, 2019, 2022 (включая 23H2) и 2025, при условии, что они используются в качестве серверов обновлений.
Хотя CVE-2025-59287 является основной проблемой в WSUS, это не единственная серьезная недавняя проблема безопасности в экосистеме Microsoft. На уровне рабочих столов и служб удаленного доступа были выявлены и другие уязвимости удаленного выполнения кода , такие как CVE-2025-30397, CVE-2025-29966 и CVE-2025-29967, затрагивающие все — от механизма сценариев Microsoft до клиента удаленного рабочего стола и шлюза удаленного рабочего стола.
Например, CVE-2025-30397 — это уязвимость, приводящая к путанице в механизме сценариев, которая уже активно используется злоумышленниками, а CVE-2025-29966 и CVE-2025-29967 описывают переполнение буфера кучи в компонентах удаленного рабочего стола, что потенциально может привести к шифрованию удаленного рабочего стола (RCE) по сети. Эти уязвимости затрагивают Windows 10, Windows 11 и Windows Server версий от 2008 R2 до 2022 , а также службы шлюза удаленного рабочего стола.
Вся эта ситуация подтверждает ключевую идею: поверхность атаки Microsoft растет и становится все более сложной , и, согласно таким анализам, как отчет BeyondTrust об уязвимостях Microsoft, за один год было выявлено более тысячи уязвимостей в продуктах Microsoft. В этом контексте оставлять WSUS открытым для интернета без сегментации или обновленных патчей слишком рискованно.
Потенциальное влияние: цепочка поставок, исправление ошибок и непрерывность бизнеса
Если злоумышленник успешно использует уязвимость CVE-2025-59287, последствия не ограничиваются самим сервером WSUS. Получив системные привилегии на выполнение кода, он может вмешаться в процесс обновления на всех машинах Windows, управляемых этим сервером WSUS . Это включает в себя возможность внедрения вредоносных бинарных файлов, блокировки распространения критически важных исправлений или распространения измененных конфигураций.
Это превращает уязвимость в прямую проблему безопасности для внутренней цифровой цепочки поставок . Доверие, которое команды клиентов оказывают WSUS как легитимному источнику обновлений, становится оружием в руках злоумышленника. Именно поэтому многие организации, занимающиеся кибербезопасностью, настаивают на том, чтобы рассматривать эти серверы как критически важные активы, а не просто как вторичную инфраструктуру.
В корпоративных и государственных структурах проникновение через WSUS может привести к масштабным сбоям в работе сервисов, шифрованию файлов и краже конфиденциальных данных . Простота автоматизации эксплуатации (благодаря общедоступным прототипам и многократно используемым скриптам) означает, что даже группы с ограниченными техническими ресурсами могут начать поиск уязвимых серверов.
Кроме того, излишняя доступность WSUS из интернета или плохо контролируемых сетевых зон считается плохой практикой сегментации и управления активами . То, что должно быть внутренней службой, становится главной целью, доступной из любой точки сети, что увеличивает риск того, что локальная уязвимость перерастет в системное нарушение на уровне организации.
Временные меры по смягчению последствий и рекомендации от Microsoft
Компания Microsoft и различные группы реагирования опубликовали ряд временных мер для организаций, которые по оперативным причинам не могут немедленно развернуть обновление от 23 октября. Эти меры не заменяют патч, но помогают выиграть время, уменьшая наиболее прямую поверхность атаки.
Наиболее решительная рекомендация — отключить роль сервера WSUS на затронутых машинах. Это устранит вектор атаки, но также лишит сервер возможности управлять обновлениями для клиентов и распространять их. Это радикальная мера, полезная в средах, где последствия можно временно смириться, пока завершается развертывание патчей или идет миграция на другой сервер.
Еще один важный способ смягчения последствий — блокировка всего входящего трафика к TCP-портам 8530 и 8531 на межсетевом экране хоста (или на периметровых межсетевых экранах, в зависимости от архитектуры сети). Запрет доступа к обычным портам WSUS нарушает вектор удаленной эксплуатации, но также предотвращает нормальную работу сервисов. Поэтому эту меру следует оценивать с учетом критичности цикла обновления в любой момент времени.
Наряду с этими двумя мерами по смягчению последствий, крайне важно по возможности ограничить доступ WSUS к интернету и сегментировать его доступ из внутренних сетей только для необходимых сегментов (например, определенных клиентских подсетей, серверов управления и т. д.). Идея заключается в том, что даже если в будущем появится еще одна подобная уязвимость, прямого пути между интернетом и сервисом не будет.
Microsoft также настаивает на том, что эти меры носят временный характер и что наиболее безопасным вариантом действий является как можно скорее установить соответствующие обновления безопасности , проверив установку последнего SSU и LCU (накопительного обновления), включающего финальный патч.
Обнаружение и детектирование угроз: XQL, SIEM и расширенные инструменты
Параллельно с установкой исправлений и мер по устранению уязвимостей крайне важно, чтобы группы безопасности отслеживали потенциальные признаки эксплуатации уязвимости CVE-2025-59287 в своих средах . Некоторые поставщики опубликовали готовые к использованию запросы и правила для платформ EDR, XDR и SIEM, позволяющие выявлять аномальное поведение, связанное с этой уязвимостью.
Например, служба поиска управляемых угроз Unit 42 предоставила XQL-запрос для Cortex XDR , который фильтрует события создания процессов в системах Windows и фокусируется на тех, которые исходят от wsusservice.exe или w3wp.exe в пуле приложений WSUS. Запрос исключает легитимные и часто используемые процессы (такие как conhost.exe, vbc.exe, svchost.exe, связанные с BITS и т. д.), чтобы сосредоточиться на потенциально подозрительно запущенных процессах cmd.exe или powershell.exe.
Логика этих правил проста, но эффективна: сервер WSUS не должен постоянно запускать командные оболочки или экземпляры PowerShell . Когда это происходит, и, кроме того, наблюдаются исходящие соединения со службами, такими как webhook[.]site, необычные домены или загрузка исполняемых файлов из внешних источников, должно срабатывать оповещение.
Такие платформы, как SOC Prime Platform, опубликовали специальный контент для обнаружения уязвимости CVE-2025-59287, совместимый с различными форматами SIEM, EDR и озер данных, и соответствующий фреймворку MITRE ATT&CK. Эти правила включают в себя сопоставление методов (например, T1190 для эксплуатации приложений, доступных из интернета), рекомендуемые конфигурации аудита, ссылки CTI и другие метаданные, облегчающие их интеграцию в различные среды защиты.
Кроме того, инструменты на основе ИИ, такие как Uncoder AI, позволяют преобразовывать индикаторы компрометации (IOC) и описания угроз в запросы, готовые для SIEM или XDR, генерировать диаграммы потока атак и переводить контент между различными платформами. В случае с CVE-2025-59287 это позволяет команде защиты начать с технического отчета и в кратчайшие сроки разработать запросы, адаптированные к их технологическому стеку.
Специальные меры защиты для продуктов безопасности и реагирования на инциденты
Некоторые производители также обновили свою продукцию для обнаружения и блокировки попыток использования уязвимости CVE-2025-59287. Например, в случае с Palo Alto Networks модуль расширенной защиты от угроз включает в себя сигнатуры предотвращения угроз (такие как 96657 и 96684), предназначенные для остановки вредоносного трафика, связанного с этой уязвимостью, при соблюдении рекомендаций по настройке.
Решения, такие как Cortex XDR и XSIAM, помогают сдерживать активность после взлома благодаря многоуровневому подходу к защите: обнаружению необычных процессов, анализу поведения, блокировке подозрительных скриптов и автоматическому реагированию. Для CVE-2025-59287 даже был опубликован специальный сценарий действий , автоматизирующий такие задачи, как идентификация хостов WSUS, выполнение поисковых запросов XQL, изоляция скомпрометированных серверов (с предварительного одобрения аналитика) и блокировка выявленных вредоносных индикаторов.
В случаях подозрения на компрометацию или обнаружения явной аномальной активности рекомендуется связаться со специализированными группами реагирования на инциденты . Такие поставщики услуг, как Unit 42, предоставляют контактные номера для различных регионов (Северная Америка, Великобритания, Европа и Ближний Восток, Азия, Япония, Австралия и Индия) для оказания срочной поддержки или проведения превентивной оценки рисков до того, как ситуация обострится.
Среди опубликованных на данный момент индикаторов компрометации выделяется URL-адрес webhook[.]site hxxp://webhook[.]site/22b6b8c8-2e07-4878-a681-b772e569aa6a , используемый в некоторых атаках для кражи информации или подтверждения эксплуатации уязвимости. Хотя злоумышленники могут легко изменить эти идентификаторы, они служат примером шаблона, за которым следует следить в журналах исходящего трафика.
Передовые методы закалки и извлеченные уроки
Помимо простого применения патча, ситуация, созданная уязвимостью CVE-2025-59287, содержит несколько важных уроков безопасности. Во-первых, нет смысла без необходимости предоставлять доступ к внутренним службам, таким как WSUS, из интернета . Если сервер предназначен для доставки патчей на компьютеры во внутренней сети, разумно обеспечить к нему доступ только из этой сети или из очень специфических сегментов, защищенных брандмауэрами и списками контроля доступа.
Ещё один важный момент заключается в том, что низкий уровень безопасности и отсутствие сегментации сети превращают техническую уязвимость в организационную катастрофу. Сбой WSUS сам по себе серьёзен, но его последствия многократно усиливаются, когда сервер находится в зоне высокого доверия и имеет прямой доступ к значительной части инфраструктуры, без компенсирующих мер контроля, ограничивающих горизонтальное перемещение.
В этой связи целесообразно периодически пересматривать инвентаризацию активов, определять, какие сервисы являются доступными, и документировать их роли во внутренней цепочке поставок. После этого будет проще внедрять политики, основанные на принципе минимальных привилегий, функциональной сегментации и усиленном мониторинге в критически важных точках, таких как сервер WSUS, контроллер домена или шлюз удаленного рабочего стола.
Наконец, важно помнить, что среда Microsoft постоянно развивается, в ней появляются новые уязвимости, включая недостатки в механизмах сценариев, RDP, браузерах и серверных компонентах. Приоритизация исправления критических уязвимостей, уже используемых в реальных условиях , таких как CVE-2025-59287, и сочетание этого с расширенными возможностями обнаружения и автоматического реагирования теперь является неотъемлемой частью любой достаточно зрелой стратегии кибербезопасности.
Все, что связано с уязвимостью RCE в WSUS, ясно показывает, что один неправильно настроенный или необновленный сервер может стать слабым звеном, ставящим под угрозу всю организацию . Поэтому, чтобы спать спокойно, необходимо незамедлительно провести анализ уязвимостей WSUS, развернуть обновления безопасности, отслеживать активность связанных процессов и усилить сегментацию сети.