Microsoft ha lanzado actualizaciones de seguridad fuera de banda (OOB) para abordar una vulnerabilidad crítica del Servicio de Actualización de Windows Server (WSUS), identificada como CVE-2025-59287. La falla, que permite la ejecución remota de código (RCE), fue corregida durante el martes de parches de este mes.
Características de la vulnerabilidad
La vulnerabilidad afecta únicamente a servidores Windows con el Rol de Servidor WSUS habilitado, una función que no está activada por defecto. Puede explotarse remotamente en ataques de baja complejidad que no requieren interacción del usuario, lo que permite a los atacantes sin privilegios ejecutar código malicioso con privilegios de SYSTEM.
Un atacante remoto no autenticado podría enviar un evento manipulado que active la deserialización de objetos no seguros en un mecanismo heredado, lo que resultaría en la ejecución remota de código. Un exploit de prueba de concepto ya está disponible en línea, lo que hace crucial la aplicación inmediata de parches a los servidores vulnerables.
Soluciones alternativas
Microsoft también compartió soluciones alternativas para administradores que no puedan instalar estos parches de emergencia. Entre las opciones se incluye deshabilitar el rol de servidor WSUS o bloquear todo el tráfico entrante a los puertos 8530 y 8531 del firewall del host, lo cual haría que WSUS deje de funcionar.
Es importante tener en cuenta que los endpoints de Windows dejarán de recibir actualizaciones del servidor local después de deshabilitar WSUS o bloquear el tráfico. Microsoft destacó que esta es una actualización acumulativa, por lo que no es necesario aplicar ninguna anterior antes de instalarla.
Impacto y recomendaciones
Microsoft recomienda a los usuarios que aún no hayan instalado la actualización de seguridad de Windows de octubre de 2025 que apliquen esta actualización OOB. Después de instalarla, será necesario reiniciar el sistema.
En un documento de soporte independiente, Microsoft afirmó que WSUS ya no mostrará detalles de errores de sincronización después de instalar estas o posteriores actualizaciones, ya que esta funcionalidad se eliminó temporalmente para abordar la vulnerabilidad RCE CVE-2025-59287.
La empresa holandesa de ciberseguridad Eye Security detectó intentos de explotación basados en la PoC, que involucran una carga útil .NET codificada en Base64 diseñada para evadir el registro mediante la ejecución de comandos a través de un encabezado de solicitud personalizado llamado «aaaa».