Windows Server Update Services (WSUS): esecuzione di codice da remoto sui server di aggiornamento

Cosa può fare

Un attaccante che raggiunge il server WSUS in rete può prenderne il controllo completo senza password. Dato che WSUS distribuisce gli aggiornamenti a tutti i PC e server dell'azienda, è una posizione privilegiata per muoversi nella rete.

Cosa mette in pericolo

Il server WSUS e, potenzialmente, l'intero dominio Windows: PC, server, credenziali e dati aziendali; rischio di ransomware.

Chi è colpito

Windows Server 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2 e 2025 con il ruolo WSUS Server abilitato (i server senza ruolo WSUS non sono esposti a questa falla)

• Installare l'aggiornamento straordinario Microsoft del 23 ottobre 2025 (o un cumulativo successivo) su tutti i server con ruolo WSUS e riavviare
• Verificare che WSUS non sia raggiungibile da Internet e limitare l'accesso alle porte 8530/8531 ai soli client interni
• Se non si può aggiornare subito, disattivare temporaneamente il ruolo WSUS o bloccare in ingresso le porte 8530/8531 sul firewall dell'host
• Controllare i log del server alla ricerca di processi anomali avviati dal servizio WSUS

• Microsoft MSRC – CVE-2025-59287
• CISA Known Exploited Vulnerabilities – CVE-2025-59287
• Huntress – Exploitation of WSUS RCE (CVE-2025-59287)
• Help Net Security – Microsoft releases urgent fix for actively exploited WSUS vulnerability

← Più recente · Precedente → · Tutti i threat alert