Luka RCE w WSUS (CVE-2025-59287) — dostępny exploit PoC, obserwowane aktywne skanowanie

W usłudze Windows Server Update Services (WSUS) wykryto krytyczną lukę umożliwiającą zdalne wykonanie kodu (RCE) — CVE-2025-59287. Luka dotyczy serwerów skonfigurowanych z rolą serwera WSUS, pełniących funkcję źródła aktualizacji dla innych serwerów WSUS…

W usłudze Windows Server Update Services (WSUS) wykryto krytyczną lukę umożliwiającą zdalne wykonanie kodu (RCE) — CVE-2025-59287.
Luka dotyczy serwerów skonfigurowanych z rolą serwera WSUS, pełniących funkcję źródła aktualizacji dla innych serwerów WSUS (❗ rola ta nie jest domyślnie włączona).

Mimo ograniczonej ekspozycji cyberprzestępcy aktywnie skanują i wykorzystują tę lukę, odkąd opublikowano publiczny kod exploita typu proof-of-concept (PoC).

Dlaczego to ważne

Zdalne wykonanie kodu z uprawnieniami SYSTEM — bez interakcji użytkownika i bez uwierzytelniania.
Wykorzystanie luki jest mało złożone, a sama luka może samoczynnie rozprzestrzeniać się między serwerami WSUS.
Exploit PoC jest publicznie dostępny, co przyspiesza ataki i skanowanie.
Potwierdzone wykorzystanie luki przez Eye Security i Huntress Labs, obserwowane od 24 października 2025 r.

Kogo to dotyczy

Serwerów z rolą serwera WSUS skonfigurowaną jako nadrzędne źródła aktualizacji.
Systemów z portami 8530 (HTTP) lub 8531 (HTTPS) wystawionymi do internetu.
Według Eye Security i Huntress:
- 🌍 ok. 2500 instancji WSUS wystawionych na całym świecie
- 🇩🇪 ok. 250 w Niemczech, 🇳🇱 ok. 100 w Holandii

Huntress poinformował, że atakujący wykonywali polecenia rozpoznawcze w PowerShellu i wyprowadzali wyniki za pomocą webhooków:

whoami
net user /domain
ipconfig /all

Działania natychmiastowe

1️⃣ Zainstaluj poprawki od razu

Microsoft opublikował awaryjne aktualizacje zabezpieczeń (out-of-band) dla wszystkich dotkniętych wersji systemu Windows Server — zainstaluj je jak najszybciej:

Windows Server 2025 — KB5070881
Windows Server, wersja 23H2 — KB5070879
Windows Server 2022 — KB5070884
Windows Server 2019 — KB5070883
Windows Server 2016 — KB5070882
Windows Server 2012 R2 — KB5070886
Windows Server 2012 — KB5070887

2️⃣ Jeśli nie możesz od razu zainstalować poprawek

❌ Wyłącz rolę serwera WSUS na dotkniętych systemach.
🔒 Zablokuj połączenia przychodzące na portach 8530 / 8531 na zaporach sieciowych lub bramach.
🕵️ Monitoruj podejrzany ruch PowerShell lub HTTP z hostów WSUS.

3️⃣ Wykrywanie i analiza

Szukaj:
- nieoczekiwanie wykonanych poleceń whoami, net user /domain, ipconfig /all.
- Ruchu wychodzącego HTTP POST do nieznanych lub zewnętrznych domen (potencjalna eksfiltracja danych).

Oficjalne biuletyny i analizy

Microsoft: CVE-2025-59287 (wykorzystanie luki bardziej prawdopodobne)
Eye Security: potwierdzone aktywne wykorzystywanie luki
Huntress Labs: zaobserwowana aktywność rozpoznawcza i zbieranie danych
NCSC-NL: potwierdzone wykorzystywanie luki w atakach

Rekomendacja Alcaeus Services

To luka RCE o wysokim priorytecie, aktywnie wykorzystywana, z publicznym kodem PoC — instalacja poprawek jest krytyczna.
Nawet jeśli WSUS zwykle nie jest wystawiony do internetu, możliwe jest przemieszczanie się wewnątrz sieci za pomocą łańcuchów ataków.

W Alcaeus Services zalecamy:

🚀 Natychmiastową orkiestrację wdrażania poprawek w środowiskach WSUS
🧰 Proaktywne wyszukiwanie zagrożeń (threat hunting) pod kątem wczesnych wskaźników naruszenia
🧱 Utwardzanie WSUS i segmentację sieci, aby ograniczyć przyszłą ekspozycję
🔍 Ciągły monitoring podatności z automatyczną weryfikacją poprawek