Penyerang sekarang mengeksploitasi kerentanan Windows Server Update Service (WSUS) dengan tingkat keparahan kritis, yang sudah memiliki kode eksploitasi bukti konsep yang tersedia untuk umum.
Dilacak sebagai CVE-2025-59287kelemahan eksekusi kode jarak jauh (RCE) ini hanya memengaruhi server Windows dengan peran Server WSUS diaktifkan untuk bertindak sebagai sumber pembaruan untuk server WSUS lain dalam organisasi (fitur yang tidak diaktifkan secara default).
Pelaku ancaman dapat mengeksploitasi kerentanan ini dari jarak jauh dalam serangan dengan kompleksitas rendah yang tidak memerlukan hak istimewa atau interaksi pengguna, sehingga memungkinkan mereka menjalankan kode berbahaya dengan hak istimewa SISTEM. Dalam kondisi ini, kelemahan keamanan juga berpotensi terjadi di antara server WSUS.
Pada hari Kamis, Microsoft merilis pembaruan keamanan out-of-band untuk semua versi Windows Server yang terkena dampak agar “mengatasi CVE-2025-59287 secara komprehensif”, dan menyarankan administrator TI untuk menginstalnya sesegera mungkin:
- WindowsServer 2025 (KB5070881)
- Windows Server, versi 23H2 (KB5070879)
- WindowsServer 2022 (KB5070884)
- WindowsServer 2019 (KB5070883)
- WindowsServer 2016 (KB5070882)
- WindowsServer 2012 R2 (KB5070886)
- WindowsServer 2012 (KB5070887)
Microsoft juga membagikan solusi untuk admin yang tidak dapat segera menerapkan patch darurat, termasuk menonaktifkan peran Server WSUS pada sistem yang rentan untuk menghilangkan vektor serangan.
Selama akhir pekan, cperusahaan keamanan cyber HawkTrace Security dilepaskan kode eksploitasi bukti konsep untuk CVE-2025-59287 itu tidak mengizinkan eksekusi perintah sewenang-wenang.
Dieksploitasi di alam liar
Perusahaan keamanan siber Belanda, Eye Security, sebelumnya hari ini melaporkan bahwa mereka telah melakukannya mengamati upaya pemindaian dan eksploitasi pagi ini, dengan setidaknya salah satu sistem pelanggannya dikompromikan menggunakan eksploitasi yang berbeda dari yang dibagikan oleh Hawktrace selama akhir pekan.
Selain itu, meskipun server WSUS biasanya tidak terekspos secara online, Eye Security mengatakan pihaknya menemukan sekitar 2.500 kasus di seluruh dunia, termasuk 250 di Jerman dan sekitar 100 di Belanda.
Perusahaan keamanan siber Amerika, Huntress, juga menemukan bukti serangan CVE-2025-59287 yang menargetkan instans WSUS dengan port defaultnya (8530/TCP dan 8531/TCP) yang terekspos secara online mulai Kamis, 23 Oktober.
“Kami memperkirakan eksploitasi CVE-2025-59287 akan dibatasi; WSUS jarang mengekspos port 8530 dan 8531. Di seluruh basis mitra kami, kami telah mengamati ~25 host yang rentan,” kata Pemburu.
Dalam serangan yang diamati oleh Huntress, pelaku ancaman menjalankan perintah PowerShell yang melakukan pengintaian terhadap domain internal Windows, yang kemudian dikirim ke webhook.
Data ini mencakup output dari perintah berikut:
- whoami – Nama pengguna yang sedang login.
- net user /domain – Mencantumkan setiap akun pengguna di domain Windows.
- ipconfig /all – Menampilkan konfigurasi jaringan untuk semua antarmuka jaringan.
Pusat Keamanan Siber Nasional Belanda (NCSC-NL) mengonfirmasi temuan kedua perusahaan tersebut hari ini, dan memberi tahu admin mengenai peningkatan risiko mengingat eksploitasi PoC sudah tersedia.
“NCSC telah mengetahui dari mitra tepercaya bahwa eksploitasi kerentanan dengan pengidentifikasi CVE-2025-59287 diamati pada 24 Oktober 2025,” NCSC-NL diperingatkan dalam penasehat hari Jumat.
“Bukan praktik umum jika layanan WSUS dapat diakses publik melalui internet. Kode bukti konsep publik untuk kerentanan kini tersedia, sehingga meningkatkan risiko eksploitasi.”
Microsoft telah mengklasifikasikan CVE-2025-59287 sebagai “Eksploitasi Lebih Mungkin Terjadi,” menunjukkan bahwa ini adalah target yang menarik bagi para penyerang; namun, mereka belum memperbarui peringatannya untuk mengonfirmasi eksploitasi aktif.
Pembaruan 24 Oktober, 13:51 EDT: Menambahkan detail selengkapnya tentang eksploitasi aktif dari Huntress Labs.
