Una nueva vulnerabilidad crítica afecta a Windows Server Update Services (WSUS) y se está explotando activamente. Microsoft lanzó un parche de emergencia, mientras que CISA advierte del alto riesgo de compromiso generalizado si no se actúa de inmediato.
Vulnerabilidad CVE-2025-59287 y su impacto
Se ha descubierto la vulnerabilidad CVE-2025-59287, que permite la ejecución remota de código (RCE) sin autenticación. Esta vulnerabilidad es un fallo de deserialización de datos no confiables presente en la función GetCookie(). La vulnerabilidad permite que un atacante obtenga RCE con privilegios de sistema en servidores expuestos a los puertos 8530 y 8531.
No requiere interacción previa ni privilegios para explotarla. Está siendo utilizada activamente en ataques en entornos de producción. El riesgo principal es que un WSUS comprometido puede distribuir actualizaciones manipuladas a todos los equipos cliente conectados en la red.
Recomendaciones y mitigaciones
La vulnerabilidad está incluida en la lista KEV de CISA. Microsoft publicó un parche de emergencia y se recomienda implementarlo inmediatamente. Se debe restringir el acceso al WSUS sólo a los hosts de gestión y servidores de Microsoft Update necesarios.
Debe bloquearse todo tráfico entrante a los puertos TCP 8530 y 8531. CISA exige a las agencias federales aplicar el parche antes del 14 de noviembre. La existencia de exploits públicos y ataques en marcha obliga a aplicar el parche sin demora.
Acciones recomendadas para la seguridad
Se recomienda reforzar la segmentación de red y monitorear activamente cualquier actividad sospechosa relacionada con la infraestructura de WSUS. Los riesgos principales incluyen compromiso generalizado, distribución de actualizaciones manipuladas, compromisos masivos, instalación de malware y escalada persistente en grandes infraestructuras.