- CVE-2025-59287 — це критична вразливість RCE у WSUS, яка дозволяє віддалене виконання коду з системними привілеями через незахищену десеріалізацію.
- Атаки використовують екземпляри WSUS, що працюють на портах 8530/8531, використовують PowerShell для розвідки та витягують дані до таких сервісів, як webhook.site.
- Пом'якшення наслідків включає застосування позасмугового патчу Microsoft, обмеження впливу WSUS та моніторинг таких процесів, як wsusservice.exe та w3wp.exe.
- Відсутність сегментації та належних практик безпеки посилює вплив вразливості, потенційно впливаючи на весь ланцюжок постачання патчів.
Нещодавня вразливість RCE у WSUS, зареєстрована як CVE-2025-59287, викликала тривогу в ІТ-відділах, державних адміністраціях та компаніях, які покладаються на екосистему Microsoft для керування своїми патчами. Це не дрібниця: це проблема небезпечної десеріалізації, яка дозволяє віддаленому, неавтентифікованому зловмиснику виконувати код із системними привілеями на критично важливих серверах.
У цій статті ви знайдете повне, практичне та зрозуміле пояснення того, що саме відбувається з CVE-2025-59287 у WSUS , як його було виявлено, чому перше виправлення було недостатнім, які методи атаки спостерігаються в реальному світі, які системи уражені, які негайні заходи слід вжити та як ви можете покладатися на передові засоби безпеки для виявлення та реагування на спроби експлуатації.
Контекст та серйозність вразливості RCE у WSUS (CVE-2025-59287)
14 жовтня 2025 року Microsoft випустила свій звичайний щомісячний пакет оновлень, що включає часткове виправлення критичної вразливості віддаленого виконання коду (RCE) у службах оновлення Windows Server . Однак це початкове оновлення не повністю усунуло недолік, тому 23 жовтня Microsoft довелося випустити екстрене позасмугове (OOB) оновлення, спеціально спрямоване на зменшення вразливості у веб-службах WSUS.
Всього за кілька годин після випуску екстреного оновлення кілька дослідницьких груп, включаючи Unit 42 у Palo Alto Networks та інших постачальників рішень безпеки, почали спостерігати фактичну активність експлойтів на відкритих серверах WSUS . Агентство з кібербезпеки та безпеки інфраструктури США (CISA) додало CVE-2025-59287 до свого каталогу відомих експлуатованих вразливостей (KEV) 24 жовтня, підтвердивши, що це не теоретична загроза, а недолік, який вже використовують зловмисники.
Уразливість отримала оцінку 9,8 за шкалою CVSSv3 , що є найвищим можливим рейтингом для критичних недоліків. Вона дозволяє неавтентифікованому віддаленому зловмиснику виконувати довільний код із системними привілеями на ураженому сервері WSUS , фактично перетворюючи його на привілейований плацдарм у корпоративній мережі. Звідти відкриваються двері для масового розгортання шкідливого програмного забезпечення, атак програм-вимагачів, крадіжки облікових даних або маніпуляцій циклом оновлення.
Що таке WSUS і чому він є такою чутливою ціллю?
Служби оновлення Windows Server (WSUS) – це компонент, який дозволяє організаціям централізувати завантаження, затвердження та розповсюдження патчів Microsoft на клієнтські комп’ютери. На практиці вони керують значною мірою гігієною патчів інфраструктури Windows компанії.
Саме через цю стратегічну роль скомпрометований WSUS стає ідеальним вектором для поширення вторгнень по всій мережі . Той, хто контролює WSUS, може впроваджувати шкідливі оновлення, блокувати патчі безпеки, змінювати частоту розгортання або використовувати сервер як точку опори для горизонтального переміщення по всьому домену.
Важливо зазначити, що роль сервера WSUS не ввімкнена за замовчуванням у Windows Server . Під прямим ризиком знаходяться лише ті машини, на яких ця роль була встановлена та налаштована. Незважаючи на це, такі платформи, як Cortex Xpanse, виявили близько 5.500 екземплярів WSUS, що піддаються доступу до Інтернету, що дає уявлення про потенційний розмір глобальної поверхні атаки.
Технічні деталі CVE-2025-59287: незахищена десеріалізація та RCE
Суть проблеми CVE-2025-59287 полягає в небезпечній десеріалізації ненадійних даних у веб-сервісах WSUS . Коротше кажучи, WSUS обробляє певні об'єкти авторизації (файли cookie та структури, що використовуються в клієнтських службах та службах звітності) за допомогою механізмів серіалізації .NET, які належним чином не перевіряють тип і вміст того, що вони десеріалізують.
Серед виявлених критичних моментів виділяється обробка об'єкта AuthorizationCookie , пов'язаного з певними SOAP-запитами. Отримуючи спеціально сформовані запити до кінцевих точок WSUS, сервер намагається розшифрувати та десеріалізувати дані, контрольовані зловмисником, за допомогою BinaryFormatter або SoapFormatter – компонентів .NET, які роками відомі своєю небезпекою при використанні з ненадійними даними.
Типовий сценарій атаки включає спрямування шкідливого запиту до кінцевої точки, такої як /ClientWebService/Client.asmx , або до служб звітності (ReportingWebService). Коли сервер WSUS обробляє корисне навантаження cookie або SOAP та виконує BinaryFormatter.Deserialize() або еквівалентні маршрути, запускається ланцюжок об'єктів, створених зловмисником. Цей ланцюжок використовує легітимні конструктори та спеціальні методи (такі як користувацькі десеріалізатори) для запуску довільних команд з дозволами служби WSUS , тобто з привілеями рівня SYSTEM.
Ця вразливість стосується систем Windows Server, на яких реалізовано роль WSUS, зокрема Windows Server 2012, 2012 R2, 2016, 2019, 2022 (включно з виданням 23H2) та 2025. Сервери, які не підтримують WSUS або не мають увімкненої цієї ролі, не вразливі до цієї конкретної недоліки, хоча на них, очевидно, можуть впливати інші проблеми безпеки.
Фактичний обсяг виявлених атак та методологія дій виконавців
Після випуску експлойту, що підтверджує концепцію (PoC), для CVE-2025-59287 , різні постачальники почали спостерігати автоматизоване сканування та атаки, спеціально спрямовані на екземпляри WSUS, доступні з Інтернету. Ці кампанії зазвичай є частиною початкових етапів більших вторгнень, які часто класифікуються як передвимагачі , де метою є отримання доступу, встановлення стійкості та дослідження середовища перед запуском масової атаки шифрування.
На початковому етапі доступу зловмисники зосереджуються на TCP-портах 8530 (HTTP) та 8531 (HTTPS) , які зазвичай використовуються WSUS, хоча в деяких конфігураціях також використовуються порти 80 або 443. Виконується масштабне сканування, щоб визначити, які екземпляри відповідають як сервери WSUS, а потім запускається корисне навантаження, призначене для використання незахищеної десеріалізації.
Після того, як їм вдається виконати код на сервері, часто можна побачити процеси cmd.exe та powershell.exe , що зависають від таких процесів, як wsusservice.exe або w3wp.exe (процес IIS). Були помічені ланцюжки судово-медичних процесів, такі як wsusservice.exe → cmd.exe → cmd.exe → powershell.exe або w3wp.exe → cmd.exe → cmd.exe → powershell.exe , що чітко вказує на виконання команд у контексті служби WSUS або пов'язаного з нею пулу програм.
Початкове корисне навантаження зазвичай зосереджене на зборі інформації про середовище, виконанні таких команд, як `whoami` , `net user /domain` або `ipconfig /all` , для швидкого зіставлення привілеїв, структури домену та топології мережі. За допомогою цих даних зловмисники оцінюють потенційне горизонтальне переміщення, цінні цілі та можливість ескалації вторгнення.
У багатьох інцидентах зібрана інформація була викрадена за допомогою, здавалося б, нешкідливих сервісів, таких як webhook[.]site . Використовуючи команди PowerShell, що використовують Invoke-WebRequest (або, як варіант, curl.exe ), зловмисники надсилають вивід команди на одноразові URL-адреси на цьому сервісі, що дозволяє їм легко перевірити успішність експлойту та отримати цінні дані, не викликаючи зайвих підозр.
Конкретні сценарії атаки та ланцюг експлуатації
Технічні звіти вказують на кілька повторюваних сценаріїв атаки навколо CVE-2025-59287. В одному з них, після використання вразливості, зловмисник використовує процес IIS (w3wp.exe) для запуску командного рядка, а звідти виконує PowerShell для завантаження двох файлів: виконуваного файлу, наприклад, dcrsproxy.exe , та допоміжного файлу, такого як rcpkg.db . Ці файли зазвичай виступають основним корисним навантаженням та компонентом конфігурації або упаковки.
В іншому сценарії безпосередньою метою є перевірка привілеїв та наявності вразливості в певному середовищі. Для цього зловмисник виконує `whoami` з ураженого процесу та спрямовує вивід безпосередньо до HTTP-запиту за допомогою `curl` до URL-адреси `webhook[.]site`, таким чином підтверджуючи, чи працює він із привілеями SYSTEM та чи відповідає сервер належним чином.
Також задокументовано випадки використання процедур вилучення даних з пам'яті . Замість того, щоб залишати помітний слід у командному рядку, зловмисник виконує жорстко закодований скрипт PowerShell, який збирає списки інтерфейсів, конфігурацій мережі, інформацію про домен та інші конфіденційні дані, непомітно надсилаючи їх до вебхука. Це ускладнює виявлення, що базується виключно на традиційному аналізі команд або журналів.
У четвертому сценарії зловмисник використовує сигналізацію DNS та msiexec . Використовуючи процес IIS, здійснюються цільові DNS-запити для зв'язку з інфраструктурою, контрольованою зловмисником, а шкідливий MSI-пакет завантажується та встановлюється за допомогою msiexec . Потім збираються системні та мережеві дані для створення постійного каналу C2 (командування та управління) для довгострокової кампанії.
Все це узгоджується з ідеєю, що багато з цих вторгнень є прелюдією до атак програм-вимагачів, керованих людиною: спочатку автоматизуються доступ і розвідка, потім з'являються інструменти віддаленого адміністрування, крадіжка облікових даних і, нарешті, шифрування, коли зловмисник знає, що цей крок може бути прибутковим.
Оновлення безпеки Microsoft та зміни у WSUS
Щоб вирішити проблему CVE-2025-59287, Microsoft випустила кілька сукупних оновлень та оновлень стека обслуговування (SSU) , які поєднують необхідні виправлення як для операційної системи, так і для самого WSUS. Наприклад, у випадку Windows Server 2022 виправлення є частиною якісного оновлення, яке явно усуває вразливість RCE у веб-службах звітності WSUS.
На додаток до оригінального жовтневого патчу, Microsoft випустила позасмугове (OOB) оновлення, в якому наголошується, що проблема виправлена у службах звітності WSUS, і що це ж виправлення поширюється на образи контейнерів Windows Server. У світі контейнерів Windows, оскільки немає внутрішнього стеку обслуговування, образи щомісяця перебудовуються та випускаються з новими виправленнями, що робить необхідним перебудову образів контейнерів на базі Windows Server для включення патчів.
У рамках заходів щодо пом’якшення наслідків Microsoft також запровадила значну функціональну зміну: WSUS тимчасово припиняє відображати відомості про помилки синхронізації у своїх звітах . Цю функцію було видалено, щоб запобігти подальшому використанню того самого методу, який дозволяв небезпечну десеріалізацію. Хоча це може бути незручно для діагностики проблем синхронізації, це необхідний захід, поки розробляється постійне рішення.
Щоб переглянути конкретні файли, що входять до складу оновлень, корпорація Майкрософт надає списки файлів для кожного сукупного оновлення (наприклад, оновлення 5070892) та для відповідних SSU (наприклад, KB5066781 у Windows Server 2022 версії 20348.4285). Ці списки допомагають перевірити, чи виправлення було встановлено правильно, а всі залежності WSUS оновлено.
Уражене програмне забезпечення, версії та зв'язок з іншими вразливостями
Уразливість WSUS RCE стосується, зокрема, серверів Windows, на яких увімкнено та налаштовано роль WSUS . Такі версії, як Windows Server 2012, 2012 R2, 2016, 2019, 2022 (включно з 23H2) та 2025, належать до вразливих продуктів, за умови, що вони діють як сервери оновлень.
Хоча CVE-2025-59287 є основною проблемою WSUS, це не єдина серйозна нещодавня проблема безпеки в екосистемі Microsoft. На рівні робочих столів та віддалених служб повідомлялося про інші вразливості віддаленого виконання коду , такі як CVE-2025-30397, CVE-2025-29966 та CVE-2025-29967, які впливають на все: від механізму сценаріїв Microsoft до клієнта віддаленого робочого столу та шлюзу віддаленого робочого столу.
Наприклад, CVE-2025-30397 — це вразливість, що призводить до плутанини , в механізмі сценаріїв, яка вже активно використовується, тоді як CVE-2025-29966 та CVE-2025-29967 описують переповнення буфера купи в компонентах віддаленого робочого столу, що може призвести до шифрування віддаленого робочого столу (RCE) по всій мережі. Ці вразливості впливають на версії Windows 10, Windows 11 та Windows Server з 2008 R2 по 2022 рік , а також на служби шлюзу віддаленого робочого столу.
Весь цей сценарій підкріплює ключову ідею: поверхня атак Microsoft зростає та стає дедалі складнішою , згідно з такими аналізами, як звіт про вразливості Microsoft від BeyondTrust, за один рік у продуктах Microsoft було зареєстровано понад тисячу вразливостей. У цьому контексті тримати WSUS відкритим для Інтернету без сегментації або оновлених патчів надто ризиковано.
Потенційний вплив: ланцюг поставок, оновлення та безперервність бізнесу
Якщо зловмисник успішно використає CVE-2025-59287, вплив не обмежується самим сервером WSUS. Отримуючи системні привілеї для виконання коду, він може перешкоджати процесу оновлення на всіх машинах Windows, якими керує цей WSUS . Це включає можливість впроваджувати шкідливі бінарні файли, блокувати розповсюдження критичних патчів або розповсюджувати змінені конфігурації.
Це перетворює вразливість на пряму проблему безпеки для внутрішнього цифрового ланцюга поставок . Довіра, яку клієнтські команди покладають на WSUS як на легітимне джерело оновлень, стає зброєю в руках зловмисника. Ось чому так багато організацій з кібербезпеки наполягають на тому, щоб розглядати ці сервери як критично важливі активи, а не лише як вторинну інфраструктуру.
У корпоративному та державному адміністративному середовищі вторгнення через WSUS може призвести до масових збоїв у роботі сервісів, шифрування файлів та крадіжки конфіденційних даних . Легкість, з якою експлуатацію можна автоматизувати (завдяки загальнодоступним підтвердженням концепції та сценаріям багаторазового використання), означає, що навіть групи з обмеженими технічними ресурсами можуть розпочати пошук вразливих серверів.
Крім того, непотрібне підключення WSUS до Інтернету або погано контрольованих мережевих областей вважається поганою практикою сегментації та управління активами . Те, що мало б бути внутрішньою службою, стає головною ціллю, доступною з будь-якого місця в мережі, збільшуючи ризик того, що локалізована вразливість переросте в системне порушення на організаційному рівні.
Тимчасові заходи щодо пом'якшення наслідків та рекомендації від Microsoft
Microsoft та різні команди реагування опублікували низку тимчасових заходів для організацій, які з операційних причин не можуть негайно розгорнути позачергове оновлення від 23 жовтня. Ці заходи не замінюють патч, але допомагають виграти час, зменшуючи найбільш пряму поверхню для атаки.
Найрішучішою рекомендацією є вимкнення ролі сервера WSUS на уражених комп’ютерах. Це усуває вектор атаки, а також здатність сервера керувати оновленнями та розповсюджувати їх серед клієнтів. Це радикальний захід, корисний у середовищах, де вплив можна тимчасово терпіти, поки завершується розгортання виправлень або триває міграція на інший сервер.
Ще один важливий спосіб зменшення ризику включає блокування всього вхідного трафіку на TCP-порти 8530 та 8531 на брандмауері хоста (або на брандмауерах периметра, залежно від конструкції мережі). Відсікаючи доступ до звичайних портів WSUS, порушується вектор віддаленої експлуатації, але також запобігається звичайна робота служби. Тому цей захід слід оцінювати на основі критичності циклу виправлень у будь-який момент часу.
Поряд із цими двома заходами захисту, вкрай важливо обмежувати доступ WSUS до Інтернету, коли це можливо, та сегментувати його доступ з внутрішніх мереж лише до необхідних сегментів (наприклад, певні клієнтські підмережі, сервери керування тощо). Ідея полягає в тому, що навіть якщо в майбутньому з'явиться інша подібна вразливість, прямого шляху між Інтернетом та сервісом не буде.
Microsoft також наполягає на тому, що ці заходи є тимчасовими, і що найбезпечнішим варіантом дій є якомога швидше встановлення відповідних оновлень безпеки , перевіривши встановлення останнього SSU та LCU (сукупного оновлення), що включає останнє виправлення.
Виявлення та виявлення загроз: XQL, SIEM та розширені інструменти
Паралельно із застосуванням виправлень та заходів для пом'якшення наслідків, вкрай важливо, щоб команди безпеки шукали потенційні ознаки експлуатації CVE-2025-59287 у своїх середовищах . Деякі постачальники опублікували готові до використання запити та правила для платформ EDR, XDR та SIEM для виявлення аномальної поведінки, пов'язаної з цією вразливістю.
Наприклад, служби керованого пошуку загроз Unit 42 поділилися XQL-запитом для Cortex XDR , який фільтрує події створення процесів у системах Windows і зосереджується на тих, що походять від wsusservice.exe або w3wp.exe в пулі програм WSUS. Запит виключає легітимні та часто використовувані процеси (такі як conhost.exe, vbc.exe, svchost.exe, пов'язані з BITS тощо), щоб зосередитися на потенційно підозріло запущених процесах cmd.exe або powershell.exe.
Логіка цих правил проста, але ефективна: сервер WSUS не повинен постійно запускати командні оболонки або екземпляри PowerShell . Коли це трапляється, а також спостерігаються вихідні підключення до таких служб, як webhook[.]site, незвичайних доменів або завантажень виконуваних файлів із зовнішніх розташувань, має спрацювати сповіщення.
Такі платформи, як SOC Prime Platform, опублікували спеціальний контент для виявлення CVE-2025-59287, сумісний з кількома форматами SIEM, EDR та data lake, а також зіставлений з фреймворком MITRE ATT&CK. Ці правила включають зіставлення технік (наприклад, T1190 для використання інтернет-додатків), рекомендовані конфігурації аудиту, посилання CTI та інші метадані, що сприяють їх інтеграції в різні захисні середовища.
Крім того, інструменти на основі штучного інтелекту, такі як Uncoder AI, дозволяють перетворювати індикатори компрометації (IOC) та описи загроз на запити, готові до SIEM або XDR, генерувати діаграми потоку атаки та перекладати контент між різними платформами. У випадку CVE-2025-59287 це дозволяє команді захисту почати з технічного звіту та отримати запити, адаптовані до їхнього технологічного стеку, за дуже короткий час.
Спеціальні засоби захисту для продуктів безпеки та реагування на інциденти
Кілька виробників також оновили свої продукти для виявлення та блокування спроб використання CVE-2025-59287. Наприклад, у випадку Palo Alto Networks модуль Advanced Threat Prevention містить сигнатури Threat Prevention (такі як 96657 та 96684), призначені для зупинки шкідливого трафіку, пов'язаного з цією вразливістю, за умови дотримання найкращих практик конфігурації.
Такі рішення, як Cortex XDR та XSIAM, допомагають стримувати активність після експлуатації завдяки багаторівневому підходу до захисту: виявлення незвичайних процесів, аналіз поведінки, блокування підозрілих скриптів та автоматичне реагування. Навіть було опубліковано спеціальний посібник для CVE-2025-59287 , який автоматизує такі завдання, як ідентифікація хостів WSUS, виконання пошукових запитів XQL, ізоляція скомпрометованих серверів (з попереднім схваленням аналітиків) та блокування виявлених шкідливих індикаторів.
У випадках підозри на компрометацію або виявлення явної аномальної активності доцільно звернутися до спеціалізованих команд реагування на інциденти . Такі постачальники, як Unit 42, пропонують контактні номери для різних регіонів (Північна Америка, Велика Британія, Європа та Близький Схід, Азія, Японія, Австралія та Індія), щоб надати термінову підтримку або провести проактивну оцінку ризиків, перш ніж ситуація загостриться.
Серед опублікованих на сьогодні індикаторів компрометації виділяється URL-адреса webhook[.]site hxxp://webhook[.]site/22b6b8c8-2e07-4878-a681-b772e569aa6a , яка використовується в деяких атаках для вилучення інформації або підтвердження експлуатації. Хоча зловмисники можуть легко змінити ці ідентифікатори, вона служить прикладом шаблону для моніторингу в журналах вихідного трафіку.
Належні методи загартування та отримані уроки
Окрім простого застосування патчу, ситуація, створена CVE-2025-59287, пропонує кілька вартих для вивчення уроків безпеки. По-перше, немає сенсу без потреби надавати доступ до Інтернету внутрішнім службам, таким як WSUS . Якщо сервер призначений для доставки патчів комп’ютерам у внутрішній мережі, розумно забезпечити до нього доступ лише з цієї мережі або з дуже певних сегментів, захищених брандмауерами та списками контролю доступу.
Ще один важливий момент полягає в тому, що низька гігієна безпеки та відсутність сегментації мережі перетворюють технічну вразливість на організаційну катастрофу. Збій WSUS сам по собі є серйозним, але його вплив множиться, коли сервер перебуває у положенні з високим рівнем довіри з прямим доступом до значної частини інфраструктури, без компенсуючих елементів контролю для обмеження горизонтального переміщення.
У зв'язку з цим доцільно періодично переглядати інвентаризацію активів, визначати, які служби піддаються впливу, та документувати їхні ролі у внутрішньому ланцюжку поставок. Звідси легше впроваджувати політики на основі принципу найменших привілеїв, функціональної сегментації та розширеного моніторингу в критичних точках, таких як сервер WSUS, контролер домену або шлюз віддаленого робочого столу.
Зрештою, важливо пам’ятати, що середовище Microsoft постійно розвивається, з’являються нові вразливості, зокрема недоліки в механізмах сценаріїв, RDP, браузерах та компонентах сервера. Пріоритетне виправлення критичних вразливостей, які вже експлуатуються в реальному світі , таких як CVE-2025-59287, та поєднання цього з розширеними можливостями виявлення та автоматизованого реагування зараз є невід’ємною частиною будь-якої достатньо зрілої стратегії кібербезпеки.
Все, що стосується вразливості RCE у WSUS, чітко показує, що один неправильно налаштований або невиправлений сервер може стати слабкою ланкою, яка ставить під загрозу всю організацію . Тому перевірка вразливості WSUS, розгортання оновлень безпеки, моніторинг активності пов'язаних процесів та посилення сегментації мережі – це кроки, які слід вжити негайно, якщо ви хочете спати спокійніше.