Błąd w roli WSUS (CVE-2025-59287) pozwala przejąć serwer rozdający aktualizacje bez logowania. CISA potwierdza ataki, a pierwsza łatka nie wystarczyła. Zainstaluj aktualizację z 23 października 2025 lub zablokuj porty 8530 i 8531.
Ten alert jest dla zarządu, CTO i CFO firm, które rozdają aktualizacje Windows z własnego serwera WSUS. Werdykt: jeśli serwer Windows z włączoną rolą WSUS nie ma poprawki wydanej poza cyklem 23 października 2025 roku, zainstaluj ją dziś albo zablokuj porty 8530 i 8531 na samym serwerze, bo luka pozwala przejąć go bez hasła, a CISA potwierdza ataki.
Amerykańska agencja CISA 24 października 2025 roku dopisała podatność CVE-2025-59287 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Windows Server Update Services (WSUS), roli serwera, która pobiera poprawki Microsoft i rozdaje je komputerom w firmie. Napastnik, który może połączyć się z serwerem przez sieć, wysyła spreparowane dane i uruchamia na nim własny kod, bez konta i hasła.
Microsoft wydał poprawkę 14 października 2025 roku, ale nie usunęła ona luki do końca. 23 października 2025 roku wydał aktualizację poza cyklem, która dopiero zamyka problem. Serwer z samą poprawką październikową może w raportach wyglądać na zaktualizowany, a nadal być podatny. Termin CISA minął 14 listopada 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-59287 |
Data dodania do CISA KEV | 2025-10-24 |
Termin naprawy wg CISA | 2025-11-14 (21 dni od wpisu) |
Produkt | Microsoft Windows Server, rola Windows Server Update Services (WSUS) |
Wersje zagrożone | Windows Server 2012, 2012 R2, 2016, 2019, 2022, 2022 23H2 i 2025, także instalacje Server Core, z włączoną rolą WSUS i bez aktualizacji z 23 października 2025 roku. Serwer bez roli WSUS nie jest podatny, ale staje się podatny w chwili jej włączenia bez poprawki |
Wersje bezpieczne | Aktualizacje poza cyklem z 23 października 2025 roku lub nowsze. Numery kompilacji wg Microsoft: Server 2025: 10.0.26100.6905 (KB5070881); Server 2022: 10.0.20348.4297 (KB5070884); Server 2022 23H2: 10.0.25398.1916 (KB5070879); Server 2019: 10.0.17763.7922 (KB5070883); Server 2016: 10.0.14393.8524 (KB5070882); Server 2012 R2: 6.3.9600.22826 (KB5070886); Server 2012: 6.2.9200.25728 (KB5070887). Wymagany restart |
Typ podatności | Deserializacja niezaufanych danych prowadząca do zdalnego wykonania kodu; CWE-502 |
Ocena CVSS | Microsoft: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, niska złożoność, bez uprawnień i bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność. Microsoft ocenia dojrzałość kodu ataku jako „dowód wykonalności” (proof of concept) |
Wyobraź sobie urząd, w którym urzędnik przyjmuje formularze i odtwarza z nich sprawy. Zwykły formularz zawiera nazwisko, kwotę i datę. Starszy typ formularza pozwala jednak dopisać także instrukcje dla urzędnika, na przykład „otwórz sejf”. Urzędnik wykonuje je bez pytania, bo takie są zasady odczytu. Wystarczy przynieść odpowiednio wypełniony formularz, nie trzeba mieć żadnej legitymacji.
Tak działa ten błąd. Programy zapisują dane w postaci, którą można przesłać przez sieć (serializacja), i odtwarzają je po drugiej stronie (deserializacja). W starych mechanizmach zapis opisuje także, jakie obiekty trzeba odtworzyć, a niektóre z nich wykonują przy tym operacje w systemie. Napastnik wysyła do serwera WSUS spreparowane dane i serwer sam uruchamia jego kod. A ponieważ serwer WSUS rozdaje oprogramowanie wszystkim komputerom w firmie, jego przejęcie uderza w punkt, któremu ufa cała sieć.
💡 WSUS (Windows Server Update Services) to rola serwera Windows, która centralnie rozdaje aktualizacje Microsoft komputerom w firmie. Deserializacja to odtwarzanie danych programu z postaci przesłanej przez sieć. Aktualizacja poza cyklem (out of band) to poprawka wydana przez Microsoft poza comiesięcznym „wtorkiem z łatkami”, zwykle w pilnych sprawach. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Połączenie z portem WSUS (8530 lub 8531) | Serwer obsługuje komputery firmowe | Spreparowane dane uruchamiają kod napastnika |
Poprawka z 14 października 2025 roku | Sprawa zamknięta | Niewystarczająca, potrzebna aktualizacja z 23 października |
Raport stanu aktualizacji | Zielony status oznacza bezpieczeństwo | Zielony status może ukrywać brak poprawki poza cyklem |
Włączenie roli WSUS na starym serwerze | Porządkuje aktualizacje | Bez poprawki natychmiast tworzy podatny serwer |
Blokada portów tylko na zaporze brzegowej | Chroni przed internetem | Nie chroni przed przejętym komputerem wewnątrz firmy |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga konta ani udziału pracownika. CISA ocenia go jako możliwy do zautomatyzowania, a publiczne materiały o błędzie pojawiły się tuż po wydaniu poprawki poza cyklem. Serwery WSUS widoczne z internetu są celem skanowania, a te wewnątrz sieci są celem napastnika, który już przejął jeden komputer.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie serwerów z otwartymi portami 8530 i 8531, z internetu lub z przejętego komputera w firmie | Lista serwerów WSUS |
2. Przejęcie serwera | T+minuty | Wysłanie spreparowanych danych do usługi WSUS | Kod napastnika działa z wysokimi uprawnieniami |
3. Utrwalenie | T+godziny | Założenie kont lokalnych, zaplanowanych zadań, narzędzi zdalnego dostępu | Dostęp, który przetrwa późniejszą aktualizację |
4. Rozpoznanie sieci | T+1 do 3 dni | Wykorzystanie zaufanej pozycji serwera do rozpoznania komputerów i kont | Mapa sieci i kont uprzywilejowanych |
5. Rozprzestrzenienie | T+3 do 14 dni | Przejście na kontroler domeny, serwery plików i kopie zapasowe | Kontrola nad większością sieci |
6. Kradzież lub szyfrowanie | T+tygodnie | Kopiowanie danych, uruchomienie ransomware | Wyciek i przestój |
Serwer WSUS jest z założenia widoczny dla wszystkich komputerów w firmie i wszystkie od niego pobierają oprogramowanie. Przejęcie go to nie awaria pojedynczej maszyny, tylko utrata zaufanego punktu w sieci. Luka działa bez hasła, a wskaźnik EPSS jest jednym z najwyższych, jakie model wystawia.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery i stacje robocze, zatrzymana praca działów | Dni do tygodni | 50 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych z serwerów plików i systemów dostępnych z przejętej sieci | Dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, odbudowa domeny i serwerów, zewnętrzni specjaliści | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania ubezpieczyciela | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z serwerem WSUS
bez aktualizacji z 23 października 2025
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ i prawdopodobieństwo są maksymalne dla serwera z rolą WSUS bez poprawki poza cyklem (wykonanie kodu bez hasła, atak automatyzowalny, EPSS powyżej 99%); serwery bez roli WSUS są poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w firmie działa serwer z rolą WSUS (także zapomniany lub utrzymywany przez partnera IT) | Dziś | Administrator Windows |
2 | 🔴 NATYCHMIAST | Sprawdzić numer kompilacji systemu i zainstalować aktualizację poza cyklem z 23 października 2025 roku lub nowszą, a potem zrestartować serwer | Dziś | Administrator Windows |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja musi poczekać: zablokować ruch przychodzący na portach 8530 i 8531 na zaporze samego serwera albo wyłączyć rolę WSUS | Dziś | Administrator Windows |
4 | 🟠 PILNIE | Przejrzeć na serwerze konta lokalne, zaplanowane zadania, usługi i narzędzia zdalnego dostępu pod kątem nieznanych wpisów | Do 2 dni | Dział IT / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić, czy porty WSUS nie są dostępne z internetu | Do 2 dni | Administrator sieci |
6 | 🟡 WAŻNIE | Wprowadzić zasadę: aktualizacje Microsoft poza cyklem instalujemy bez czekania na miesięczne okno serwisowe | Do 14 dni | CTO |
7 | 🟡 WAŻNIE | Przed włączeniem roli WSUS na jakimkolwiek serwerze najpierw instalować wszystkie poprawki | Na stałe | Administrator Windows |
Microsoft wydał poprawki dla wszystkich wspieranych wersji Windows Server, także w formie poprawek bez restartu (hotpatch) dla Server 2022 i 2025, choć i tu producent zaznacza konieczność restartu. Do czasu instalacji producent wskazuje dwa obejścia, które wyłączają aktualizowanie komputerów z tego serwera. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie roli WSUS na serwerze (zalecenie producenta) | Wysoka: usuwa podatną usługę | Łatwa, ale komputery przestają dostawać aktualizacje z tego serwera |
Blokada ruchu przychodzącego na portach 8530 i 8531 w zaporze samego serwera (zalecenie producenta) | Wysoka, także wobec ataku z wnętrza sieci | Łatwa, ale WSUS przestaje działać |
Blokada portów tylko na zaporze brzegowej | Niska do średniej: nie chroni przed przejętym komputerem w sieci | Łatwa |
Czasowe aktualizowanie komputerów bezpośrednio z Windows Update | Pomocnicza: utrzymuje aktualizacje stacji przy wyłączonym WSUS | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Serwer WSUS | Możliwe przejęcie bez hasła | Aktualizacja poza cyklem zainstalowana, serwer zrestartowany |
Porty 8530 i 8531 | Dostępne dla każdego w sieci, czasem z internetu | Dostępne tylko tam, gdzie trzeba, nigdy z internetu |
Wiedza o włamaniu | Brak | Przejrzane konta, zadania i usługi na serwerze |
Zasada aktualizacji | Raz w miesiącu, także dla poprawek pilnych | Poprawki poza cyklem instalowane od razu |
Zgodność z wymogami | Ponad 10 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak możliwy do zautomatyzowania, wpływ pełny. Uwaga: biuletyn Microsoft nadal ma w polu „wykorzystywana” wartość „nie”; przy rozbieżności decyzję opieramy na potwierdzeniu ataków przez CISA |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg Microsoft (CVSS 3.1) |
PoC dostępny publicznie? | TAK: Microsoft ocenia dojrzałość kodu ataku jako dowód wykonalności, a NVD wskazuje publiczny materiał techniczny o błędzie |
Liczba atakowanych firm | Brak publicznych informacji |
Liczba poprawek | Dwie: 14 października 2025 roku (niepełna) i 23 października 2025 roku (pełna, poza cyklem), plus 24 października hotpatch |
Prognoza EPSS | powyżej 99%, jeden z najwyższych wyników modelu (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-59287
CVSS 3.1 (Microsoft) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (prawdopodob.) >99% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe
Kod ataku PoC ████████████████░░░░ dowód wykonalności
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-10-14 Microsoft publikuje poprawkę w comiesięcznym wydaniu
2025-10-23 Microsoft wydaje aktualizacje poza cyklem, pełna poprawka
2025-10-24 Poprawki hotpatch dla Server 2022 i 2025
2025-10-24 CISA dodaje lukę do katalogu KEV
2025-11-14 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny wpis Microsoft z listą poprawek i obejściami: msrc.microsoft.com: CVE-2025-59287 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-59287 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT utrzymuje serwer WSUS | CTO | DZISIAJ |
2 | Uzyskać numer kompilacji serwera i potwierdzenie instalacji aktualizacji z 23 października 2025 roku | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowy restart serwera po aktualizacji lub czasową blokadę portów | CTO | DZISIAJ |
4 | Zlecić przegląd kont, zadań i usług na serwerze WSUS | CTO | DO JUTRA |
5 | Wprowadzić zasadę natychmiastowej instalacji poprawek poza cyklem | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić w umowie z partnerem IT zapisy o terminach instalacji pilnych poprawek | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy serwer z włączoną rolą WSUS? | TAK / NIE | 🔴 |
2 | Jaki numer kompilacji ma ten serwer? | [wersja] | 🔴 |
3 | Kiedy zainstalowano aktualizację poza cyklem z 23 października 2025 roku i czy serwer został zrestartowany? | [data] | 🔴 |
4 | Czy porty 8530 i 8531 są dostępne z internetu? | TAK / NIE | 🔴 |
5 | Czy przejrzano konta lokalne, zadania i usługi na serwerze WSUS? | TAK / NIE | 🟠 |
6 | Kto sprawdza biuletyny Microsoft pod kątem poprawek poza cyklem? | [osoba] | 🟠 |
7 | Czy ktoś planuje włączenie roli WSUS na innym serwerze? | TAK / NIE | 🟡 |
CVE-2025-59287 pozwala przejąć serwer WSUS bez hasła, a CISA potwierdza ataki. Kluczowe jest to, że październikowa poprawka nie wystarczyła: potrzebna jest aktualizacja z 23 października 2025 roku, restart i przegląd serwera pod kątem śladów włamania, a do tego czasu blokada portów 8530 i 8531 na samym serwerze.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.