- CVE-2025-59287 је критична RCE рањивост у WSUS-у која омогућава даљинско извршавање кода са системским привилегијама путем небезбедне десеријализације.
- Напади искоришћавају WSUS инстанце откривене на портовима 8530/8531, користе PowerShell за извиђање и извлаче податке на сервисе као што је webhook.site.
- Ублажавање укључује примену Мајкрософтове ванпојасне закрпе, ограничавање изложености WSUS-у и праћење процеса као што су wsusservice.exe и w3wp.exe.
- Недостатак сегментације и добрих безбедносних пракси умножава утицај рањивости, потенцијално утичући на цео ланац снабдевања закрпама.
Недавна RCE рањивост у WSUS-у, регистрована као CVE-2025-59287, упалила је узбуну у ИТ одељењима, јавним администрацијама и компанијама које се ослањају на Microsoft екосистем за управљање својим закрпама. Ово није мала мана: то је проблем небезбедне десеријализације који омогућава удаљеном, неаутентификованом нападачу да извршава код са системским привилегијама на критичним серверима.
У овом чланку ћете пронаћи комплетно, практично и једноставно објашњење шта се тачно дешава са CVE-2025-59287 у WSUS-у , како је откривен, зашто прва закрпа није била довољна, које технике напада се примећују у стварном свету, који системи су погођени, које хитне мере треба да примените и како се можете ослонити на напредне безбедносне алате за откривање и реаговање на покушаје експлоатације.
Контекст и озбиљност RCE рањивости у WSUS-у (CVE-2025-59287)
Дана 14. октобра 2025. године, Мајкрософт је објавио свој уобичајени месечни пакет ажурирања, укључујући делимичну исправку за критичну рањивост удаљеног извршавања кода (RCE) у Windows Server Update Services . Међутим, то почетно ажурирање није у потпуности затворило грешку, па је 23. октобра Мајкрософт морао да објави хитно ванпојасно (OOB) ажурирање посебно усмерено на ублажавање рањивости у WSUS веб сервисима.
Само неколико сати након објављивања хитне надоградње, неколико истраживачких тимова, укључујући Јединицу 42 у Пало Алто Нетворксу и друге добављаче безбедносних решења, почели су да посматрају стварне активности експлоатације на изложеним WSUS серверима . Америчка агенција за сајбер безбедност и безбедност инфраструктуре (CISA) додала је CVE-2025-59287 у свој каталог познатих искоришћених рањивости (KEV) 24. октобра, потврђујући да ово није теоретска претња, већ мана коју већ искоришћавају злонамерни актери.
Рањивост је оцењена са CVSSv3 оценом 9,8 , што је највиша могућа оцена за критичне недостатке. Омогућава неаутентификованом удаљеном нападачу да изврши произвољни код са системским привилегијама на погођеном WSUS серверу , ефикасно га претварајући у привилеговано упориште унутар корпоративне мреже. Одатле су врата отворена за масовно распоређивање злонамерног софтвера, нападе ransomware-а, крађу акредитива или манипулацију циклусом ажурирања.
Шта је WSUS и зашто је тако осетљива мета?
Windows Server Update Services (WSUS) је компонента која омогућава организацијама да централизују преузимање, одобравање и дистрибуцију Microsoft закрпа на клијентске рачунаре. У пракси, она оркестрира велики део хигијене закрпа Windows инфраструктуре компаније.
Управо због ове стратешке улоге, компромитовани WSUS постаје идеалан вектор за ширење упада преко целе мреже . Ко год контролише WSUS може убризгавати злонамерна ажурирања, блокирати безбедносне закрпе, мењати ритам имплементације или користити сервер као ослонац за бочно кретање кроз домен.
Важно је напоменути да улога WSUS сервера није подразумевано омогућена у Windows Server-у . Само машине на којима је ова улога инсталирана и конфигурисана су у директној опасности. Упркос томе, платформе попут Cortex Xpanse су идентификовале око 5.500 WSUS инстанци изложених интернету, што даје представу о потенцијалној величини глобалне површине напада.
Технички детаљи CVE-2025-59287: небезбедна десеријализација и RCE
Суштина проблема у CVE-2025-59287 лежи у небезбедној десеријализацији непоузданих података унутар WSUS веб сервиса . Укратко, WSUS обрађује одређене објекте ауторизације (колачиће и структуре које се користе у клијентским и сервисима за извештавање) помоћу .NET механизама серијализације који не проверавају правилно тип и садржај онога што десеријализују.
Међу идентификованим критичним тачкама, истиче се руковање објектом AuthorizationCookie повезаним са одређеним SOAP захтевима. Када прими посебно креиране захтеве ка WSUS крајњим тачкама, сервер покушава да дешифрује и десеријализује податке које контролише нападач користећи BinaryFormatter или SoapFormatter , обе .NET компоненте познате годинама по својој опасности када се користе са непоузданим подацима.
Типичан сценарио напада укључује усмеравање злонамерног захтева ка крајњој тачки као што је /ClientWebService/Client.asmx или ка сервисима за извештавање (ReportingWebService). Када WSUS сервер обради колачић или SOAP корисни терет и изврши BinaryFormatter.Deserialize() или еквивалентне руте, покреће се ланац објеката које је креирао нападач. Овај ланац користи легитимне конструкторе и посебне методе (као што су прилагођени десеријализатори) да би на крају покренуо произвољне команде са дозволама WSUS сервиса , тј. са привилегијама на нивоу СИСТЕМА.
Рањивост погађа Windows Server системе који имају имплементирану WSUS улогу, укључујући Windows Server 2012, 2012 R2, 2016, 2019, 2022 (укључујући издање 23H2) и 2025. Сервери који не излажу WSUS или немају омогућену ову улогу нису рањиви на ову специфичну грешку, иако очигледно могу бити погођени другим безбедносним проблемима.
Стварни обим откривених напада и методологија актера
Након објављивања експлоатације за доказ концепта (PoC) за CVE-2025-59287 , различити добављачи су почели да примећују аутоматизована скенирања и нападе који су посебно усмерени на WSUS инстанце доступне преко интернета. Ове кампање су обично део почетних фаза већих упада, често категорисаних као пре-рансомвер , где је циљ добијање приступа, успостављање постојаности и истраживање окружења пре покретања масовног напада шифровањем.
У почетној фази приступа, нападачи се фокусирају на TCP портове 8530 (HTTP) и 8531 (HTTPS) , које обично користи WSUS, мада се у неким конфигурацијама користе и портови 80 или 443. Врши се скенирање великих размера како би се идентификовало које инстанце реагују као WSUS сервери, а затим се покреће корисни терет дизајниран за искоришћавање небезбедне десеријализације.
Када успеју да изврше код на серверу, уобичајено је видети процесе cmd.exe и powershell.exe како висе из процеса као што су wsusservice.exe или w3wp.exe (IIS процес). Примећени су форензички ланци процеса као што су wsusservice.exe → cmd.exe → cmd.exe → powershell.exe или w3wp.exe → cmd.exe → cmd.exe → powershell.exe , што снажно указује на извршавање команди у контексту WSUS сервиса или његовог повезаног скупа апликација.
Почетни корисни терет се обично фокусира на прикупљање информација о окружењу, извршавајући команде као што су `whoami` , `net user /domain` или `ipconfig /all` ради брзог мапирања привилегија, структуре домена и топологије мреже. Помоћу ових података, нападачи процењују потенцијално бочно кретање, вредне мете и изводљивост ескалације упада.
У многим инцидентима, прикупљене информације су украдене коришћењем наизглед безазлених сервиса попут webhook[.]site . Користећи PowerShell команде које користе Invoke-WebRequest (или алтернативно, curl.exe ), нападачи шаљу излаз команде на једнократне URL-ове на том сервису, што им омогућава да лако провере успех експлоита и добију вредне податке без превише сумње.
Специфични сценарији напада и ланац експлоатације
Технички извештаји указују на неколико сценарија напада који се понављају око CVE-2025-59287. У једном од њих, након искоришћавања рањивости, нападач користи IIS процес (w3wp.exe) да покрене командну линију и одатле покрене PowerShell да би преузео две датотеке: извршну датотеку, на пример dcrsproxy.exe , и помоћну датотеку као што је rcpkg.db . Ове датотеке обично делују као главни корисни терет и компонента конфигурације или паковања.
У другом сценарију, непосредни циљ је провера привилегија и присуства рањивости у одређеном окружењу. Да би то урадио, нападач извршава `whoami` из компромитованог процеса и усмерава излаз директно на HTTP захтев користећи `curl` на `webhook[.]site` URL адресу, чиме потврђује да ли ради са SYSTEM привилегијама и да ли сервер реагује како се очекује.
Такође су документовани случајеви где се користе рутине за извлачење података из меморије . Уместо да остави очигледан траг у командној линији, нападач извршава чврсто кодиран PowerShell скрипт који прикупља листе интерфејса, мрежних конфигурација, информација о домену и других осетљивих података, прикривено их шаљући вебхуку. Ово компликује откривање засновано искључиво на традиционалној анализи команди или логова.
У четвртом сценарију, нападач користи DNS сигнализацију и msiexec . Користећи IIS процес, циљани DNS упити се врше како би се контактирала инфраструктура коју контролише противник, а злонамерни MSI пакет се преузима и инсталира помоћу msiexec . Системски и мрежни подаци се затим прикупљају како би се успоставио трајни C2 (командни и контролни) канал за дугорочну кампању.
Све се ово уклапа у идеју да су многи од ових упада прелудијум људским нападима ransomware-а: прво, приступ и извиђање су аутоматизовани, затим долазе алати за даљинско администрирање, крађа акредитива и коначно, шифровање када нападач зна да тај потез може бити профитабилан.
Безбедносна ажурирања и промене за WSUS од стране компаније Microsoft
Да би се позабавио проблемом CVE-2025-59287, Мајкрософт је објавио неколико кумулативних и сервисних ажурирања (SSU) која комбинују неопходне исправке и за оперативни систем и за сам WSUS. У конкретном случају Windows Server 2022, на пример, исправка је део квалитетног ажурирања које експлицитно решава RCE рањивост у веб сервисима за извештавање WSUS-а.
Поред оригиналне октобарске закрпе, Мајкрософт је објавио и ванпојасну (OOB) надоградњу, наглашавајући да је проблем решен у WSUS сервисима за извештавање и да се иста исправка односи и на слике контејнера Windows Server-а. У свету Windows контејнера, пошто не постоји интерни стек за одржавање, слике се поново израђују и објављују месечно са новим исправкама, што чини неопходним поново изградити слике контејнера засноване на Windows Server-у како би се укључиле закрпе.
Као део мера за ублажавање проблема, Мајкрософт је такође увео значајну функционалну промену: WSUS привремено престаје да приказује детаље о грешкама синхронизације у својим извештајима . Ова функционалност је уклоњена како би се спречило даље коришћење исте методе која је омогућила небезбедну десеријализацију. Иако ово може бити незгодно за дијагностиковање проблема са синхронизацијом, то је неопходна мера док се развија трајно решење.
Да би прегледао одређене датотеке укључене у ажурирања, Microsoft пружа листе датотека за свако кумулативно ажурирање (на пример, ажурирање 5070892) и за одговарајуће SSU-ове (као што је KB5066781 у Windows Server 2022, верзија 20348.4285). Ове листе помажу у провери да ли је закрпа правилно инсталирана и да ли су све WSUS зависности ажуриране.
Погођени софтвер, верзије и веза са другим рањивостима
Рањивост WSUS RCE-а посебно утиче на Windows сервере где је WSUS улога омогућена и конфигурисана . Верзије као што су Windows Server 2012, 2012 R2, 2016, 2019, 2022 (укључујући 23H2) и 2025 су међу рањивим производима, под условом да делују као сервери за ажурирање.
Иако је CVE-2025-59287 главни фокус у WSUS-у, то није једини озбиљан скорашњи безбедносни проблем у Мајкрософтовом екосистему. На нивоу десктоп рачунара и удаљених сервиса, пријављене су и друге рањивости у даљинском извршавању кода , као што су CVE-2025-30397, CVE-2025-29966 и CVE-2025-29967, које утичу на све, од Мајкрософтовог скриптног механизма до клијента удаљене радне површине и пролаза удаљене радне површине.
На пример, CVE-2025-30397 је рањивост која изазива забуну у механизму за скриптовање, која је већ активно искоришћена, док CVE-2025-29966 и CVE-2025-29967 описују прекорачење бафера хипа у компонентама удаљене радне површине, са потенцијалом за шифровање удаљене радне површине (RCE) преко мреже. Ове рањивости утичу на верзије Windows 10, Windows 11 и Windows Server од 2008 R2 до 2022 , као и на услуге Remote Desktop Gateway.
Читав овај сценарио појачава кључну идеју: површина за нападе компаније Microsoft расте и постаје све сложенија , са преко хиљаду рањивости пријављених у Microsoft производима у једној години, према анализама као што је извештај о Microsoft Vulnerabilities Report компаније BeyondTrust. У овом контексту, одржавање WSUS-а изложеног интернету без сегментације или ажурираних закрпа је превише ризично.
Потенцијални утицај: ланац снабдевања, исправљање грешака и континуитет пословања
Ако нападач успешно искористи CVE-2025-59287, утицај није ограничен само на сам WSUS сервер. Добијањем системски привилегованих права на извршавање кода, може ометати процес ажурирања на свим Windows машинама којима управља тај WSUS . То укључује могућност убризгавања злонамерних бинарних датотека, блокирања дистрибуције критичних закрпа или дистрибуције измењених конфигурација.
Ово претвара рањивост у директан безбедносни проблем за интерни дигитални ланац снабдевања . Поверење које клијентски тимови имају у WSUS као легитиман извор ажурирања постаје оружје у рукама нападача. Зато толико организација за сајбер безбедност инсистира на третирању ових сервера као критичне имовине, а не само као секундарне инфраструктуре.
У корпоративним и јавним административним окружењима, упад путем WSUS-а може довести до масовних прекида услуга, шифровања датотека и крађе осетљивих података . Лакоћа којом се експлоатација може аутоматизовати (захваљујући јавно доступним доказима концепта и скриптама за вишекратну употребу) значи да чак и групе са ограниченим техничким ресурсима могу почети да траже рањиве сервере.
Штавише, непотребно излагање WSUS-а интернету или лоше контролисаним мрежним областима сматра се лошом праксом сегментације и управљања имовином . Оно што би требало да буде интерна услуга постаје главна мета доступна са било ког места на мрежи, повећавајући ризик да ће локализована рањивост ескалирати у системски продор на организационом нивоу.
Привремене мере за ублажавање и препоруке компаније Microsoft
Мајкрософт и разни тимови за реаговање објавили су низ привремених мера за организације које, из оперативних разлога, не могу одмах да примене ажурирање ван опсега од 23. октобра. Ове мере не замењују закрпу, али помажу у куповини времена смањењем најдиректније површине за напад.
Најодлучнија препорука је да се онемогући улога WSUS сервера на погођеним машинама. Тиме се елиминише вектор напада, али и способност сервера да управља и дистрибуира ажурирања клијентима. Ово је драстична мера, корисна у окружењима где се утицај може привремено толерисати док се завршава имплементација закрпа или је у току миграција на други сервер.
Још једна релевантна мера ублажавања укључује блокирање целокупног долазног саобраћаја ка TCP портовима 8530 и 8531 на заштитном зиду хоста (или на периметралним заштитним зидовима, у зависности од дизајна мреже). Искључивањем приступа уобичајеним WSUS портовима, вектор удаљене експлоатације је прекинут, али је такође спречен и редован рад сервиса. Стога, ову меру треба проценити на основу критичности циклуса закрпа у било ком датом тренутку.
Уз ове две мере за ублажавање, кључно је ограничити изложеност WSUS-а интернету кад год је то могуће и сегментирати његов приступ са интерних мрежа само на неопходне сегменте (нпр. одређене клијентске подмреже, сервере за управљање итд.). Идеја је да, чак и ако се у будућности појави још једна слична рањивост, неће постојати директна путања између интернета и сервиса.
Мајкрософт такође инсистира да су ова ублажавања привремена и да је најбезбеднији начин деловања што пре применити одговарајућа безбедносна ажурирања , проверавајући инсталацију најновијег SSU-а и LCU-а (кумулативног ажурирања) које укључује последњу закрпу.
Детекција и претрага претњи: XQL, SIEM и напредни алати
Паралелно са применом закрпа и ублажавања, кључно је да безбедносни тимови траже потенцијалне знаке експлоатације CVE-2025-59287 у својим окружењима . Неки добављачи су објавили спремне упите и правила за EDR, XDR и SIEM платформе како би идентификовали аномално понашање повезано са овом рањивошћу.
На пример, сервиси за управљано претраживање претњи Јединице 42 поделили су XQL упит за Cortex XDR који филтрира догађаје креирања процеса на Windows системима и фокусира се на оне који потичу од wsusservice.exe или w3wp.exe унутар WSUS базе апликација. Упит искључује легитимне и често коришћене процесе (као што су conhost.exe, vbc.exe, svchost.exe повезане са BITS-ом итд.) да би се фокусирао на потенцијално сумњиво покренуте процесе cmd.exe или powershell.exe.
Логика која стоји иза ових правила је једноставна, али ефикасна: WSUS сервер не би требало континуирано да покреће командне шкољке или PowerShell инстанце . Када се то деси, а поред тога, примете се одлазне везе ка сервисима као што су webhook[.]site, неуобичајени домени или преузимања извршних датотека са спољних локација, требало би да се покрене упозорење.
Платформе као што је SOC Prime Platform објавиле су специфичан садржај за детекцију CVE-2025-59287, компатибилан са више SIEM, EDR и data lake формата, и мапиран на MITRE ATT&CK оквир. Ова правила укључују мапирање техника (нпр. T1190 за експлоатацију апликација окренутих ка интернету), препоручене конфигурације ревизије, CTI везе и друге метаподатке који олакшавају њихову интеграцију у различита одбрамбена окружења.
Штавише, алати засновани на вештачкој интелигенцији, попут Uncoder AI, омогућавају трансформацију индикатора компромитовања (IOC) и описа претњи у упите спремне за SIEM или XDR, генерисање дијаграма тока напада и превођење садржаја између различитих платформи. У случају CVE-2025-59287, ово омогућава одбрамбеном тиму да почне са техничким извештајем и да дође до упита прилагођених њиховом технолошком стеку за веома кратко време.
Посебне заштите за безбедносне производе и реаговање на инциденте
Неколико произвођача је такође ажурирало своје производе како би открили и блокирали покушаје искоришћавања CVE-2025-59287. У случају компаније Palo Alto Networks, на пример, модул Advanced Threat Prevention укључује сигнатуре Threat Prevention (као што су 96657 и 96684) дизајниране да зауставе злонамерни саобраћај повезан са овом рањивошћу када се прате најбоље праксе конфигурације.
Решења попут Cortex XDR и XSIAM помажу у сузбијању активности након експлоатације кроз вишеслојни приступ заштити: откривање необичних процеса, анализа понашања, блокирање сумњивих скрипти и аутоматизовани одговор. Чак је објављен и посебан приручник за CVE-2025-59287 , који аутоматизује задатке као што су идентификација WSUS хостова, извршавање XQL упита за претрагу, изоловање угрожених сервера (уз претходно одобрење аналитичара) и блокирање идентификованих злонамерних индикатора.
У случајевима када се сумња на компромитовање или се примећује јасна аномална активност, препоручљиво је контактирати специјализоване тимове за реаговање на инциденте . Пружаоци услуга као што је Јединица 42 нуде контакт бројеве за различите регионе (Северна Америка, Велика Британија, Европа и Блиски исток, Азија, Јапан, Аустралија и Индија) како би пружили хитну подршку или спровели проактивне процене ризика пре него што ситуација ескалира.
Међу до сада објављеним индикаторима компромитовања , истиче се URL webhook[.]site hxxp://webhook[.]site/22b6b8c8-2e07-4878-a681-b772e569aa6a , који се користи у неким нападима за крађу информација или потврду експлоатације. Иако противници могу лако да промене ове идентификаторе, он служи као пример обрасца за праћење у евиденцијама одлазног саобраћаја.
Добре праксе каљења и научене лекције
Поред пуке примене закрпе, ситуација коју је створио CVE-2025-59287 нуди неколико лекција о безбедности које вреди научити. Прва је да нема смисла непотребно излагати интерне сервисе попут WSUS-а интернету . Ако је сервер дизајниран да испоручује закрпе рачунарима у интерној мрежи, разумно је да му се може приступити само из те мреже или из веома специфичних сегмената, заштићених заштитним зидовима (фајерволима) и листама контроле приступа.
Још једна важна ствар је да лоша безбедносна хигијена и недостатак сегментације мреже претварају техничку рањивост у организациону катастрофу. Квар WSUS-а је сам по себи озбиљан, али његов утицај се умножава када се сервер налази у позицији високог поверења са директним приступом великом делу инфраструктуре, без компензационих контрола за ограничавање бочног кретања.
У том смислу, препоручљиво је периодично прегледати инвентар имовине, идентификовати које су услуге изложене и документовати њихове улоге у интерном ланцу снабдевања. Одатле је лакше имплементирати политике засноване на принципу најмањих привилегија, функционалне сегментације и побољшаног праћења на критичним тачкама, као што су WSUS сервер, контролер домена или Remote Desktop Gateway.
Коначно, важно је запамтити да се Мајкрософтово окружење стално развија са новим рањивостима, укључујући недостатке у скриптним механизмима, RDP-у, прегледачима и серверским компонентама. Давање приоритета исправљању критичних рањивости које су већ искоришћене у стварном свету , као што је CVE-2025-59287, и комбиновање овога са напредним могућностима детекције и аутоматизованог реаговања сада је суштински део сваке разумно зреле стратегије сајбер безбедности.
Све што се тиче RCE рањивости у WSUS-у јасно показује да један погрешно конфигурисан или неинсталиран сервер може постати слаба карика која угрожава целу организацију . Стога, преглед изложености WSUS-а, примена безбедносних ажурирања, праћење активности повезаних процеса и јачање сегментације мреже су кораци које треба предузети без одлагања ако желите да мирније спавате.