Badan Keamanan Siber dan Infrastruktur (CISA) memerintahkan lembaga pemerintah AS untuk menambal kerentanan Layanan Pembaruan Server Windows (WSUS) dengan tingkat keparahan kritis setelah menambahkannya ke katalog kelemahan keamanan yang dieksploitasi dalam serangan.
Dilacak sebagai CVE-2025-59287kerentanan eksekusi kode jarak jauh (RCE) yang dieksploitasi secara aktif dan berpotensi wormable ini memengaruhi server Windows dengan peran Server WSUS (fitur yang tidak diaktifkan secara default) yang bertindak sebagai sumber pembaruan untuk server WSUS lain dalam organisasi.
Penyerang dapat menyalahgunakannya dari jarak jauh dalam serangan dengan kompleksitas rendah yang tidak memerlukan interaksi atau hak istimewa pengguna, sehingga memungkinkan mereka mendapatkan hak istimewa SISTEM dan menjalankan kode berbahaya.
Pada hari Kamis, setelah perusahaan keamanan siber HawkTrace Security dirilis kode eksploitasi bukti konsepMicrosoft merilis pembaruan keamanan out-of-band untuk “mengatasi CVE-2025-59287 secara komprehensif” pada semua versi Windows Server yang terkena dampak dan menyarankan administrator TI untuk menginstalnya sesegera mungkin.
Admin TI yang tidak dapat segera menerapkan patch darurat disarankan untuk menonaktifkan peran Server WSUS pada sistem yang rentan untuk menghilangkan vektor serangan.
Eksploitasi aktif di alam liar
Hari ketika patch CVE-2025-59287 dirilis, perusahaan keamanan siber Amerika Huntress menemukan bukti serangan CVE-2025-59287 menargetkan instans WSUS dengan port defaultnya (8530/TCP dan 8531/TCP) terekspos secara online.
Perusahaan keamanan siber Belanda Eye Security juga demikian mengamati upaya pemindaian dan eksploitasi pada hari Jumat pagi, dengan setidaknya salah satu sistem pelanggannya dikompromikan menggunakan eksploitasi yang berbeda dari yang dibagikan oleh Hawktrace selama akhir pekan.
Sementara Microsoft telah mengklasifikasikan CVE-2025-59287 sebagai “Eksploitasi Lebih Mungkin Terjadiyang menandainya sebagai target yang menarik bagi pelaku ancaman, namun belum memperbarui peringatan keamanannya untuk mengonfirmasi eksploitasi aktif.
Sejak itu, kelompok pengawas Internet Shadowserver sedang melacak lebih dari 2.800 instans WSUS dengan port default (8530/8531) diekspos secara online, meskipun tidak disebutkan berapa banyak yang telah ditambal.
Badan-badan federal diperintahkan untuk menambal
Pada hari Jumat, badan keamanan siber menambahkan kelemahan kedua yang mempengaruhi toko Adobe Commerce (sebelumnya Magento), yang juga demikian ditandai sebagai dieksploitasi dalam serangan minggu lalu.
CISA ditambahkan kedua kerentanan terhadap Katalog Kerentanan yang Dieksploitasi yang Diketahuiyang mencantumkan kelemahan keamanan yang dieksploitasi secara liar.
Sebagaimana diamanatkan oleh Petunjuk Operasional Mengikat (BOD) 22-01 November 2021, lembaga-lembaga Cabang Eksekutif Sipil Federal (FCEB) AS harus memperbaiki sistem mereka dalam waktu tiga minggu, paling lambat tanggal 14 November, untuk mengamankan mereka dari potensi pelanggaran.
Meskipun hal ini hanya berlaku untuk lembaga pemerintah AS, semua admin dan pembela TI disarankan untuk memprioritaskan perbaikan kelemahan keamanan ini sesegera mungkin.
“Jenis kerentanan ini sering menjadi vektor serangan bagi pelaku siber jahat dan menimbulkan risiko signifikan bagi perusahaan federal,” kata CISA.
“CISA sangat mendesak organisasi untuk menerapkan panduan Kerentanan Eksekusi Kode Jarak Jauh Layanan Pembaruan Server Windows (WSUS) yang diperbarui dari Microsoft, 1 atau mengambil risiko aktor yang tidak diautentikasi mencapai eksekusi kode jarak jauh dengan hak istimewa sistem,” itu menambahkan.
CISA merekomendasikan pembela jaringan untuk mengidentifikasi semua server yang rentan dan menerapkan pembaruan keamanan out-of-band untuk CVE-2025-59287. Setelah instalasi, reboot server WSUS untuk menyelesaikan mitigasi dan mengamankan server Windows yang tersisa.
