CVE-2025-59287 — RCE critica non autenticata in Windows Server Update Services (WSUS) tramite deserializzazione non sicura di un AuthorizationCookie, che consente una compromissione a livello di SYSTEM e sfruttamento attivo; applicare la patch o isolare WSUS (porte 8530/8531) immediatamente.
TL;DR: Microsoft ha corretto una vulnerabilità critica di esecuzione remota di codice (RCE) non autenticata in Windows Server Update Services (WSUS) già sfruttata attivamente. Il problema deriva da una deserializzazione non sicura di dati controllati dall'attaccante, che consente un compromissione remota a livello di SYSTEM. Questo bug trasforma di fatto il tuo server di aggiornamento — lo strumento pensato per proteggere la tua rete — in una potenziale arma contro di essa. Applica la patch immediatamente o isola WSUS finché non puoi farlo.
WSUS è la spina dorsale per la distribuzione degli aggiornamenti Windows in molti ambienti enterprise. Consente agli amministratori di gestire, approvare e distribuire gli aggiornamenti internamente — risparmiando banda e fornendo un controllo centralizzato.
Tuttavia, una falla in uno degli endpoint dei servizi web di WSUS ha reso possibile agli attaccanti inviare dati serializzati malevoli camuffati da AuthorizationCookie. Quando WSUS riceve questo cookie manipolato, tenta di deserializzarlo senza una validazione adeguata, portando all'esecuzione di codice arbitrario.
Gli attaccanti stanno usando questa falla per eseguire codice come , il privilegio più alto su Windows. Poiché i server WSUS spesso si trovano in zone di rete fidate e possono , questa falla diventa un punto d'ingresso d'oro. Una volta sfruttata, potrebbe consentire agli avversari di distribuire , o . Microsoft ha rilasciato una patch d'emergenza e CISA ha aggiunto questa CVE alla lista — un forte segnale che gli attori delle minacce sono già in movimento.
Una proof-of-concept (PoC) è emersa rapidamente dopo il rilascio della patch, confermando quanto fosse facile lo sfruttamento una volta compreso il flusso. In sostanza, l'exploit:
Crea un payload di cookie falso (AuthorizationCookie) atteso da WSUS, incorporando un oggetto .NET serializzato al posto di dati di autenticazione genuini.
Invia questo blob a endpoint ASMX vulnerabili come:
/SimpleAuthWebService/SimpleAuthWebService.asmx/ReportingWebService/ReportingWebService.asmxIl server decripta e deserializza ciecamente usando routine obsolete di .NET BinaryFormatter.
La catena di gadget dell'oggetto iniettato innesca l'esecuzione dei comandi dell'attaccante — tipicamente l'avvio di cmd.exe o powershell.exe sotto SYSTEM.
Poiché il PoC è ora pubblico, gli attaccanti opportunistici stanno attivamente scansionando le reti alla ricerca di porte WSUS aperte. La disponibilità di payload weaponizzati rende la patch non negoziabile.
Applica la patch immediatamente — applica l'aggiornamento WSUS fuori banda di Microsoft che risolve CVE-2025-59287. Verifica l'installazione tramite il numero KB e riavvia il sistema successivamente per finalizzare la correzione.
Se non puoi ancora applicare la patch:
Aggiorna le tue difese:
Di seguito sono riportati IoC e query di ricerca che puoi inserire direttamente nelle piattaforme SIEM o EDR per rilevare un possibile sfruttamento.
Porte: TCP 8530 (HTTP), TCP 8531 (HTTPS)
Endpoint colpiti:
/SimpleAuthWebService/SimpleAuthWebService.asmx/ReportingWebService/ReportingWebService.asmx/ClientWebService/ClientWebService.asmxIndizi nel payload: Blob Base64 insolitamente grandi nei cookie o nei corpi POST etichettati AuthorizationCookie.
Indizio comportamentale: POST improvvise o irregolari verso WSUS da IP sconosciuti o client interni che normalmente non vi accedono.
Avvii di processi sospetti:
w3wp.exe o wsusservice.execmd.exe o powershell.exeCaratteristiche della riga di comando:
-EncodedCommand, Invoke-Expression o callback di rete.Segni di persistenza:
C:\inetpub\logs\LogFiles\W3SVC*\u_ex*.logC:\Program Files\Update Services\LogFiles\SoftwareDistribution.log4103, 41041 per catene parent-child sospette# CVE-2025-59287 hunt: rileva POST AuthorizationCookie sovradimensionati verso endpoint ASMX di WSUS
index=web_logs (uri_path="/SimpleAuthWebService/SimpleAuthWebService.asmx"
OR uri_path="/ReportingWebService/ReportingWebService.asmx"
OR uri_path="/ClientWebService/ClientWebService.asmx")
| where like(Cookie, "%AuthorizationCookie=%")
| where len(Cookie) > 1000
| table _time, clientip, uri_path, Cookie
# CVE-2025-59287 Detection: WSUS che avvia PowerShell (potenziale RCE da deserializzazione)
title: WSUS Process Spawned Suspicious Shell
id: dfd1a2e2-2025-59287-detect
status: stable
description: Rileva comportamenti sospetti in cui processi correlati a WSUS (w3wp.exe) avviano shell PowerShell, indicativi dello sfruttamento di CVE-2025-59287.
author: Aditya Bhatt
date: 2025/10/28
logsource:
category: process_creation
product: windows
detection:
selection:
EventID: 1
ParentImage|endswith: '\w3wp.exe'
Image|endswith: '\powershell.exe'
condition: selection
fields:
- Image
- ParentImage
- CommandLine
- User
- Computer
falsepositives:
- Script di amministrazione WSUS che usano legittimamente PowerShell (raro)
level: high
tags:
- attack.execution
- cve.2025-59287
- wsus
Versione EQL
process where event.code == "1" and
process.parent.name == "w3wp.exe" and
process.name == "powershell.exe"
Versione KQL
event.code:1 and process.parent.name:"w3wp.exe" and process.name:"powershell.exe"
I vendor di sicurezza hanno reagito rapidamente:
/SimpleAuthWebService.asmx.w3wp.exe) come forte segnale di compromissione.w3wp.exe → powershell.exe. 🕵️♀️Applica la patch velocemente, cerca a fondo e ricorda — anche i tuoi strumenti di sicurezza possono tradirti se non sono patchati. 🔒🦉