Falha afeta Windows Server Update

Um exploit de prova de conceito foi publicado para a vulnerabilidade crítica CVE-2025-59287 no Windows Server Update Services (WSUS), permitindo que atacantes não autenticados executem código remoto com privilégios de SYSTEM. O problema surge da desserialização insegura de dados não confiáveis no processamento do AuthorizationCookie, onde o método EncryptionHelper.DecryptData() lida com dados criptografados sem validação adequada.

Leia também
Cyber Horizon Group anuncia três novos diretores
Trojan bancário do Whats bloqueado 62 mil vezes

A falha afeta todas as versões suportadas do Windows Server de 2012 a 2025, inclusive em ambientes produtivos ainda amplamente dependentes do WSUS. O exploit envolve o envio de uma requisição HTTP POST não autenticada ao endpoint ClientWebService do WSUS, manipulando o AuthorizationCookie com payloads capazes de acionar execução arbitrária de comandos via BinaryFormatter no contexto privilegiado do sistema.

O prova de conceito está disponível publicamente e demonstra, por exemplo, a execução do calc.exe após a desserialização do payload forjado. Não há necessidade de interação do usuário, tornando a falha particularmente perigosa para instâncias WSUS expostas na rede ou internet. O risco inclui ataques envolvendo a cadeia de suprimentos digital, permitindo a distribuição de atualizações maliciosas para clientes.

A Microsoft publicou atualização de segurança em outubro de 2025 e recomenda aplicação imediata do patch, isolamento dos servidores WSUS, restrição de acesso por firewall e monitoramento de tráfego SOAP. Para o médio prazo, sugere-se substituir o BinaryFormatter por alternativas JSON ou XML com validação robusta.