Microsoft только что исправила критическую уязвимость WSUS (CVE-2025-59287) — и злоумышленники уже используют ее.

В четверг Microsoft выпустила внеплановые обновления безопасности для исправления критически важной уязвимости службы обновления Windows Server (WSUS) с помощью эксплойта Proof-of-Concept (Poc), который был доступен публично и активно эксплуатировался в реальных условиях.

Уязвимость, о которой идёт речь, — CVE-2025-59287 (оценка CVSS: 9,8). Это уязвимость удалённого выполнения кода в WSUS, которая была первоначально исправлена ​​технологическим гигантом в рамках обновления «Вторник исправлений», опубликованного на прошлой неделе.

Недостаток связан со случаем десериализации ненадёжных данных в WSUS, что позволяет неавторизованному злоумышленнику выполнить код по сети. Стоит отметить, что уязвимость не затрагивает серверы Windows, на которых не активирована роль сервера WSUS.

В гипотетическом сценарии атаки удалённый злоумышленник, не прошедший аутентификацию, может отправить специально созданное событие, которое запускает небезопасную десериализацию объекта с использованием «устаревшего механизма сериализации», что приводит к удалённому выполнению кода.

По словам исследователя безопасности HawkTrace Батухана Эра, проблема «возникает из-за небезопасной десериализации объектов AuthorizationCookie, отправляемых на конечную точку GetCookie(), где зашифрованные данные cookie расшифровываются с помощью AES-128-CBC и затем десериализуются через BinaryFormatter без надлежащей проверки типа, что позволяет удалённо выполнять код с привилегиями SYSTEM».

Стоит отметить, что сама Microsoft ранее рекомендовала разработчикам прекратить использование BinaryFormatter для десериализации, поскольку этот метод небезопасен при использовании с недоверенными входными данными. Реализация BinaryFormatter была впоследствии удалена из .NET 9 в августе 2024 года.