- CVE-2025-59287 是 WSUS 中的一個嚴重 RCE 漏洞，它允許透過不安全的反序列化以系統權限遠端執行程式碼。
- 這些攻擊利用在 8530/8531 連接埠上暴露的 WSUS 實例，使用 PowerShell 進行偵察，並將資料外洩到 webhook.site 等服務。
- 緩解措施包括應用微軟的帶外補丁、限制 WSUS 的暴露以及監控 wsusservice.exe 和 w3wp.exe 等進程。
- 缺乏分段和良好的安全實踐會加劇漏洞的影響，並可能影響整個修補程式供應鏈。
最近，WSUS 中發現的遠端程式碼執行 (RCE) 漏洞（編號為 CVE-2025-59287）引起了 IT 部門、公共管理機構以及依賴微軟生態系統進行修補程式管理的企業的警覺。這並非小漏洞：這是一個不安全的序列化問題，允許未經身份驗證的遠端攻擊者在關鍵伺服器上以系統權限執行程式碼。
本文將對WSUS 中的 CVE-2025-59287 漏洞進行全面、實用且直接的解釋，包括該漏洞的發現過程、第一個補丁為何不足以應對、現實世界中觀察到的攻擊技術、受影響的系統、應採取的緊急措施，以及如何依靠高級安全工具來檢測和應對漏洞利用嘗試。
WSUS 中遠端程式碼執行漏洞 (CVE-2025-59287) 的背景和嚴重性
2025年10月14日，微軟發布了例行的月度更新包，其中包含針對Windows Server Update Services (WSUS) 中一個嚴重遠端程式碼執行 (RCE) 漏洞的部分修復。然而，該初始更新並未完全修復此漏洞，因此微軟不得不在10月23日發布緊急帶外 (OOB) 更新，專門用於緩解WSUS Web服務中的漏洞。
緊急更新發布僅數小時後，包括 Palo Alto Networks 旗下 Unit 42 在內的多個研究團隊以及其他安全廠商便開始在暴露的 WSUS 伺服器上觀察到實際的漏洞利用活動。美國網路安全與基礎設施安全局 (CISA) 於 10 月 24 日將 CVE-2025-59287 加入其已知已利用漏洞 (KEV) 目錄中，確認這並非理論上的威脅，而是已被惡意攻擊者利用的漏洞。
此漏洞的 CVSSv3 評分為 9,8，是嚴重漏洞的最高評分。它允許未經身份驗證的遠端攻擊者在受影響的 WSUS 伺服器上以 SYSTEM 權限執行任意程式碼，從而有效地將其變成企業網路中的特權入口。由此，攻擊者可以大規模部署惡意軟體、發動勒索軟體攻擊、竊取憑證或操縱更新週期。
WSUS是什麼？為什麼它如此敏感？
Windows Server Update Services (WSUS) 是一個元件，它允許組織集中管理 Microsoft 修補程式的下載、核准和分發到客戶端電腦的過程。實際上，它負責協調公司 Windows 基礎架構的大部分修補程式維護工作。
正是由於這種策略性作用，一旦 WSUS 伺服器被攻破，就會成為攻擊者將攻擊擴展到整個網路的理想途徑。控制 WSUS 的攻擊者可以注入惡意更新、阻止安全性修補程式、修改部署節奏，或利用該伺服器作為跳板在網域內橫向移動。
值得注意的是，Windows Server 預設並未啟用WSUS 伺服器角色。只有已安裝並配置此角色的電腦才會面臨直接風險。即便如此，像 Cortex Xpanse 這樣的平台也已識別出約 5.500 個暴露在網路上的 WSUS 實例，這讓我們得以了解全球潛在攻擊面的規模。
CVE-2025-59287 的技術細節：不安全的反序列化和遠端程式碼執行
CVE-2025-59287 的核心問題在於WSUS Web 服務中對不受信任的資料進行不安全的反序列化。簡而言之，WSUS 使用 .NET 序列化機制處理某些授權物件（用戶端和報告服務中使用的 cookie 和結構），而這些機制無法正確驗證反序列化資料的類型和內容。
在已識別的關鍵點中，與某些 SOAP 請求關聯的AuthorizationCookie物件的處理方式特別突出。當收到針對 WSUS 端點的特製請求時，伺服器會嘗試使用BinaryFormatter或SoapFormatter解密和反序列化攻擊者控制的資料。這兩個 .NET 元件多年來都因其在處理不受信任的資料時存在的危險性而臭名昭著。
典型的攻擊場景是將惡意請求導向到諸如/ClientWebService/Client.asmx之類的端點或報告服務 (ReportingWebService)。當 WSUS 伺服器處理 cookie 或 SOAP 有效負載並執行BinaryFormatter.Deserialize()或等效路由時，攻擊者建立的一系列物件將被觸發。此物件鏈利用合法建構函式和特殊方法（例如自訂反序列化器）最終以 WSUS 服務的權限（即係統級權限）執行任意命令。
此漏洞會影響已實施 WSUS 角色的 Windows Server 系統，包括Windows Server 2012、2012 R2、2016、2019、2022（包括 23H2 版本）和 2025。未公開 WSUS 或未啟用此角色的伺服器不受此特定漏洞的影響，但它們顯然可能會受到其他安全問題的影響。
已偵測到的攻擊的實際範圍和攻擊者的方法
在CVE-2025-59287 的概念驗證 (PoC) 漏洞利用程式發布後，多家廠商開始發現針對可透過網路存取的 WSUS 執行個體的自動化掃描和攻擊。這些攻擊活動通常是更大規模入侵的初始階段，常被歸類為勒索軟體攻擊前期階段，其目標是在發動大規模加密攻擊之前獲取存取權、建立持久化控制並探索環境。
在初始存取階段，攻擊者主要關注TCP 連接埠 8530（HTTP）和 8531（HTTPS），這些連接埠通常被 WSUS 使用，儘管在某些配置中也會使用連接埠 80 或 443。攻擊者會執行大規模掃描，以識別哪些執行個體回應為 WSUS 伺服器，然後啟動旨在利用不安全反序列化漏洞的有效載荷。
一旦攻擊者成功在伺服器上執行程式碼，通常會看到cmd.exe 和 powershell.exe進程掛起，這些進程可能位於wsusservice.exe或w3wp.exe（IIS 進程）等進程中。已觀察到類似wsusservice.exe → cmd.exe → cmd.exe → powershell.exe或w3wp.exe → cmd.exe → cmd.exe → powershell.exe這樣的取證進程鏈，這強烈表明命令是在 WSUS 服務或其關聯的應用程式集區的上下文中執行的。
初始攻擊載荷通常側重於收集環境信息，執行諸如`whoami`、`net user /domain`或`ipconfig /all`之類的命令，以快速映射權限、域結構和網路拓撲。利用這些數據，攻擊者可以評估潛在的橫向移動、高價值目標以及升級入侵的可行性。
在許多案例中，攻擊者利用看似無害的服務（例如webhook[.]site ）竊取了收集到的資訊。他們使用 PowerShell 命令（例如Invoke-WebRequest或curl.exe）將命令輸出傳送到該服務上的臨時 URL，從而輕鬆驗證攻擊是否成功，並在不引起過多懷疑的情況下獲取有價值的資料。
具體攻擊場景和利用鏈
技術報告指出，CVE-2025-59287 存在幾種反覆出現的攻擊場景。其中一個場景是，攻擊者利用漏洞後，透過 IIS 進程 (w3wp.exe) 啟動命令提示符，並從中執行 PowerShell 腳本下載兩個檔案：一個可執行檔（例如dcrsproxy.exe）和一個支援檔（例如rcpkg.db）。這些文件通常用作主要有效載荷和配置或打包組件。
在另一種情況下，攻擊者的直接目標是驗證權限以及特定環境中是否存在漏洞。為此，攻擊者從受感染的進程執行`whoami` 命令，並使用`curl`命令將輸出直接路由到 `webhook[.]site` URL 的 HTTP 請求，從而確認其是否擁有 SYSTEM 權限以及伺服器是否按預期回應。
已有案例記錄了使用記憶體內資料竊取程式的情況。攻擊者不會在命令列留下明顯的痕跡，而是執行一段硬編碼的 PowerShell 腳本，該腳本會收集介面列表、網路配置、網域資訊和其他敏感數據，並隱藏地將其發送到 Webhook。這使得僅依靠傳統的命令或日誌分析難以檢測。
第四種場景中，攻擊者利用DNS訊號和msiexec工具。攻擊者利用IIS進程，向敵方控制的基礎設施發出定向DNS查詢，並使用msiexec下載和安裝惡意MSI軟體套件。隨後，攻擊者收集系統和網路數據，建立持久的C2（命令與控制）通道，以進行長期攻擊活動。
所有這些都符合這樣一種觀點：許多此類入侵都是人為操作的勒索軟體攻擊的前奏：首先，存取和偵察是自動化的，然後是遠端管理工具、憑證竊取，最後，當攻擊者知道這樣做有利可圖時，就會進行加密。
Microsoft 安全性更新和 WSUS 的更改
為了解決 CVE-2025-59287 漏洞，微軟發布了多個累積更新和服務堆疊更新 (SSU)，其中包含了針對作業系統和 WSUS 本身的必要修復。例如，在 Windows Server 2022 中，該修復包含在品質更新中，該更新專門針對 WSUS 報告 Web 服務中的遠端程式碼執行 (RCE) 漏洞。
除了十月發布的修補程式之外，微軟還發布了一個帶外更新 (OOB)，強調 WSUS 報告服務中的問題已修復，並且該修復也適用於 Windows Server 容器映像。由於 Windows 容器沒有內部維護機制，鏡像每月都會重新建置並發布，其中包含新的修復程序，因此必須重新建置基於 Windows Server 的容器映像才能套用這些修補程式。
作為緩解措施的一部分，微軟還引入了一項重要的功能變更：WSUS 暫時停止在其報告中顯示同步錯誤細節。移除此功能是為了防止繼續利用相同的方法進行不安全的反序列化。雖然這可能會對診斷同步問題造成不便，但在開發永久解決方案期間，這是一項必要的措施。
為了查看更新中包含的特定文件，Microsoft為每個累積更新（例如，更新 5070892）和相應的系統更新 (SSU)（例如， Windows Server 2022 版本 20348.4285 中的KB5066781 ）提供了文件清單。這些清單有助於驗證修補程式是否已正確安裝，以及所有 WSUS 依賴項是否已更新。
受影響的軟體、版本及其與其他漏洞的關係
WSUS RCE 漏洞專門影響已啟用並設定 WSUS 角色的 Windows 伺服器。受影響的產品包括 Windows Server 2012、2012 R2、2016、2019、2022（包括 23H2）和 2025 等版本，前提是它們充當更新伺服器。
雖然 CVE-2025-59287 是 WSUS 的主要關注點，但它並非微軟生態系統近期唯一嚴重的安全問題。在桌面和遠端服務層面，也報告了其他遠端程式碼執行漏洞，例如 CVE-2025-30397、CVE-2025-29966 和 CVE-2025-29967，這些漏洞影響範圍涵蓋了從微軟腳本引擎到遠端桌面用戶端和遠端桌面閘道的方方面面。
例如，CVE-2025-30397是腳本引擎中的混淆漏洞，目前已被積極利用；而CVE-2025-29966和CVE-2025-29967則描述了遠端桌面元件中的堆緩衝區溢位漏洞，可能導致遠端桌面加密 (RCE) 攻擊。這些漏洞影響Windows 10、Windows 11 和 Windows Server 2008 R2 至 2022 版本，以及遠端桌面閘道服務。
整個事件印證了一個關鍵觀點：微軟的攻擊面正在不斷擴大，而且日益複雜。根據 BeyondTrust 的《微軟漏洞報告》等分析顯示，光是一年內，微軟產品就報告了超過一千個漏洞。在這種情況下，如果不對 WSUS 進行分段或及時更新補丁，就將其暴露在互聯網上，風險實在太大。
潛在影響：供應鏈、修補和業務連續性
如果攻擊者成功利用 CVE-2025-59287 漏洞，其影響不僅限於 WSUS 伺服器本身。透過取得系統特權代碼執行權限，攻擊者可以乾擾該 WSUS 伺服器所管理的所有 Windows 電腦上的更新程序。這包括注入惡意二進位檔案、阻止關鍵補丁的分發或傳播篡改後的配置。
這使得漏洞直接成為內部數位供應鏈的安全問題。客戶團隊對 WSUS 作為合法更新來源的信任，反而成了攻擊者手中的利器。正因如此，許多網路安全機構堅持將這些伺服器視為關鍵資產，而不僅僅是輔助基礎設施。
在企業和公共管理環境中，透過 WSUS 發動的入侵可能導致大規模服務中斷、文件加密和敏感資料被盜。由於存在公開的概念驗證和可重複使用腳本，利用漏洞進行自動化攻擊非常容易，這意味著即使技術資源有限的團隊也可以開始搜尋存在漏洞的伺服器。
此外，將 WSUS 不必要地暴露於互聯網或管控不嚴的網路區域，被認為是一種糟糕的資產隔離和管理實踐。原本應是內部服務的存在，卻會成為網路上任何位置都可存取的主要攻擊目標，從而增加了局部漏洞升級為組織層面系統性安全漏洞的風險。
微軟的臨時緩解措施和建議
微軟和各緊急應變團隊針對因營運原因無法立即部署 10 月 23 日帶外更新的組織發布了一系列臨時措施。這些措施並不能取代補丁，但可以透過縮小最直接的攻擊面來爭取時間。
最有效的建議是停用受影響電腦上的 WSUS 伺服器角色。這樣做可以消除攻擊途徑，但也會削弱伺服器管理和分發客戶端更新的能力。這是一個較為嚴厲的措施，適用於在修補程式部署完成或遷移到另一台伺服器期間可以暫時容忍其影響的環境。
另一項相關的緩解措施是在主機防火牆（或邊界防火牆，取決於網路設計）上阻止所有流入 TCP 連接埠 8530 和 8531 的流量。透過切斷對常用 WSUS 連接埠的訪問，可以阻斷遠端攻擊途徑，但同時也會阻止正常的 WSUS 服務運作。因此，應根據補丁更新周期的緊迫性來評估此措施。
除了上述兩項緩解措施外，至關重要的是盡可能限制 WSUS 對網際網路的暴露，並將其存取權限從內部網路隔離到必要的網段（例如，特定的客戶端子網、管理伺服器等）。這樣做的目的是，即使將來出現類似的漏洞，也不會存在互聯網與 WSUS 之間的直接路徑。
微軟也堅持這些緩解措施是暫時的，最安全的做法是盡快套用相應的安全性更新，並驗證是否安裝了最新的 SSU 和包含最終修補程式的 LCU（累積更新）。
威脅偵測與搜尋：XQL、SIEM 與進階工具
在應用修補程式和緩解措施的同時，安全團隊必須密切注意其環境中是否存在利用 CVE-2025-59287 漏洞的潛在跡象。一些供應商已發布了適用於 EDR、XDR 和 SIEM 平台的即用型查詢和規則，用於識別與此漏洞相關的異常行為。
例如，Unit 42 的託管威脅搜尋服務分享了一個用於 Cortex XDR 的 XQL 查詢，該查詢可以篩選 Windows 系統上的進程建立事件，並專注於源自WSUS 應用程式集區中的wsusservice.exe或w3wp.exe 的進程。此查詢排除了合法且常用的進程（例如與 BITS 關聯的 conhost.exe、vbc.exe、svchost.exe 等），從而專注於可能被可疑觸發的 cmd.exe 或 powershell.exe 進程。
這些規則背後的邏輯簡單卻有效：WSUS 伺服器不應持續啟動命令列 shell 或 PowerShell 執行個體。如果發生這種情況，並且還觀察到與 webhook[.]site 等服務、異常網域建立出站連接，或從外部位置下載可執行文件，則應觸發警報。
諸如SOC Prime Platform等平台已發布針對 CVE-2025-59287 的特定檢測內容，這些內容相容於多種 SIEM、EDR 和資料湖格式，並映射到 MITRE ATT&CK 框架。這些規則包括技術映射（例如，用於攻擊面向互聯網應用程式的 T1190）、建議的審計配置、CTI 連結以及其他元數據，以便於將其整合到各種防禦環境中。
此外，像Uncoder AI這樣的基於人工智慧的工具能夠將入侵指標 (IOC) 和威脅描述轉換為 SIEM 或 XDR 相容的查詢，產生攻擊流程圖，並在不同平台之間轉換內容。以 CVE-2025-59287 為例，這使得防禦團隊能夠從技術報告入手，在極短時間內產生針對其技術棧量身定制的查詢。
針對安全產品和事件回應的特定保護措施
多家製造商也已更新其產品，以檢測和阻止利用CVE-2025-59287 的嘗試。例如，Palo Alto Networks 的高階威脅防禦模組整合了威脅防禦簽章（例如 96657 和 96684），旨在遵循最佳配置實踐的情況下阻止與此漏洞相關的惡意流量。
Cortex XDR 和 XSIAM等解決方案透過多層防護方法幫助遏制攻擊後的惡意活動：偵測異常進程、分析行為、阻止可疑腳本以及自動回應。甚至還發布了針對 CVE-2025-59287 的特定操作手冊，可自動執行諸如識別 WSUS 主機、執行 XQL 搜尋查詢、隔離受感染伺服器（需事先獲得分析師批准）以及阻止已識別的惡意指標等任務。
如果懷疑系統遭到入侵或發現明顯的異常活動，建議聯絡專業的事件回應團隊。像 Unit 42 這樣的服務提供者提供針對不同地區（北美、英國、歐洲和中東、亞洲、日本、澳洲和印度）的聯絡電話，以便在情況升級之前提供緊急支援或進行主動風險評估。
在目前已公佈的入侵指標中，URL webhook[.]site hxxp://webhook[.]site/22b6b8c8-2e07-4878-a681-b772e569aa6a特別突出，它被用於某些攻擊中以竊取資訊或確認攻擊是否成功。儘管攻擊者可以輕易更改這些標識符，但它仍然是一個值得監控的出站流量日誌模式範例。
良好的加固措施和經驗教訓
除了簡單地應用修補程式之外，CVE-2025-59287 造成的局面還帶來了一些值得吸取的安全教訓。首先，將 WSUS 等內部服務不必要地暴露在網路上是毫無意義的。如果伺服器旨在向內部網路上的電腦分發補丁，那麼將其限制為僅可從該網路或特定網段存取才是合理的，並且需要透過防火牆和存取控制清單進行保護。
另一點也很重要，那就是糟糕的安全防護措施和缺乏網路分段會將技術漏洞演變成組織災難。 WSUS 故障本身就十分嚴重，但如果伺服器處於高信任位置，可以直接存取大部分基礎設施，且沒有相應的控制措施來限制橫向移動，那麼其影響將會倍增。
在這方面，建議定期檢視資產清單，識別哪些服務處於開放狀態，並記錄它們在內部供應鏈中的作用。這樣，就更容易根據最小權限原則、功能分段以及在關鍵節點（例如 WSUS 伺服器、網域控制器或遠端桌面閘道）加強監控來實施策略。
最後，必須牢記的是，微軟環境不斷演變，新的漏洞層出不窮，包括腳本引擎、遠端桌面協定 (RDP)、瀏覽器和伺服器元件中的缺陷。優先修復已被實際利用的關鍵漏洞（例如 CVE-2025-59287），並結合先進的檢測和自動化響應能力，如今已成為任何較為成熟的網路安全策略不可或缺的一部分。
WSUS 遠端程式碼執行漏洞的種種跡象表明，一台配置錯誤或未打補丁的伺服器就可能成為危及整個組織的薄弱環節。因此，為了確保安全，必須立即採取措施，包括審查 WSUS 的安全風險、部署安全性更新、監控相關進程的活動以及加強網路分段。