WSUS: Przestarzały, niebezpieczny, SYSTEM-owy? Microsoft nie daje rady z łatkami

WSUS – stary znajomy z nową bombą

WSUS od lat był dla adminów czymś w rodzaju starego grilla na działce: niby przydatny, pilnowany z sentymentu i rzadko ruszany. Pozwalał sterować aktualizacjami z jednego miejsca, oszczędzać pasmo, stawiać na compliance. Jednak jego „wiecznie żywy” kod z czasów, gdy nikt nie myślał o obecnych zagrożeniach, właśnie się zemścił.

Atak, z którego korzysta CVE-2025-59287, jest tak prosty, jak zamówienie pizzy przez telefon. Wystarczy odpowiedni SOAP request z podmienionym autoryzacyjnym ciastkiem (AuthorizationCookie). Dzięki felernej obsłudze deserializacji WSUS nie sprawdza, co mu wciskasz do buzi – bez pytania, bez loginów, po prostu kod z uprawnieniami SYSTEM ląduje na Twojej maszynie i robi, co chce. Kto miał do czynienia z.NET BinaryFormatter wie, że to klasyczny przypadek „deserializacja + dane od użytkownika + brak walidacji = laurka dla cyberprzestępców”.

Z życia wzięte: jak atakujący robią z WSUS bramę do sieci?

Zespół z Huntress i Eye Security nie miał łatwego tygodnia: pierwsze przypadki już 23 października, kolejni klienci zgłaszają dziwne ruchy – cmd.exe, PowerShell, enumeracja domeny i szybka wysyłka danych na webhook.site albo inny Pastebin. Scenariusz? Klasyka w świecie ataków post-exploitation: najpierw wiedza kto jest kim (whoami, net user), potem szukanie łakomych kąsków (net use, ipconfig /all), na koniec szybka exfiltracja zanim ktoś się zorientuje.

Nie ma tu finezji, to nie wyrafinowane APT – po prostu chciwi i szybcy cyberbandyci żerujący na administratorach którzy „zaraz wrócą do tego tematu” i nie zainstalowali poprawki na czas. Zresztą, po co się cackać, skoro Microsoft przyznał, że pierwsza łatka i tak nie działała jak trzeba i trzeba było wypchnąć kolejną pod sam koniec października.

Techniczne „mięso”: co czyni tę lukę unikalną?

To nie jest kolejny SQLi na blogasku. Tu mamy zestaw trzech cech, które każą się spocić nawet doświadczonym SOCowcom:

Brak jakiejkolwiek autoryzacji. Po prostu wbijasz drzwi, nikt nie pyta o hasło.
Systemowe uprawnienia – cokolwiek zrobisz, masz pełnię władzy na serwerze. Jeżeli WSUS jest mostem do innych krytycznych zasobów, domino już ruszyło.
Możliwość ataku przez sieć (porty 8530 i 8531) – a statystyki pokazują, że wciąż są tysiące publicznie wystawionych WSUSów.

Technicznie rzecz biorąc, główny problem tkwił w mechanizmie deserializacji „zgadnij-kto” bez gruntownej walidacji typów. Po przesłaniu odpowiednio spreparowanego zakodowanego łańcucha (łańcuszek gadgetów, np. z ysoserial.net), WSUS uruchamia deserializację w kontekście SYSTEM, zanim przeprowadzi wewnętrzne sprawdzenia. To wystarcza by dowolny kod "zadomowił się" na serwerze.

Jak naprawdę zminimalizować ryzyko?

Przykro mi, ale "czekam na następną łatkę" i "przynajmniej nie jestem publicznie dostępny" nie są strategiami.

Co robić? Po pierwsze: pilnie zainstalować najnowszy out-of-band patch z 24 października (i sprawdzić, czy wyszedł już hotfix na hotfix!), bo tylko on realnie blokuje tę konkretną dziurę. Ale to dopiero początek:

Jeżeli nie musisz mieć WSUS dostępnego z publicznej sieci – ZABLOKUJ porty 8530/8531 na firewallu.
Zastanów się, czy naprawdę musisz korzystać z WSUS – Microsoft sam sugeruje migrację do Intune.
Monitoruj logi – szukaj nietypowych POST na /ClientWebService/Client.asmx, dziwnych wartości w AuthorizationCookie, procesu wsusservice.exe odpalającego cmd.exe lub powershell.exe.
Upewnij się, że nie masz publicznie dostępnych usług, których nikt nie aktualizuje; to prosta droga do kłopotów.

I co z tego dla biznesu?

Wyobraź sobie organizację zbierającą dane tysięcy klientów. Jeden niezałatany WSUS = otwarte drzwi do strefy IT, szybka eskalacja uprawnień, lateral movement, exfiltracja wrażliwych danych. Koszty? Od kar za naruszenia RODO przez kosztowny przestój aż po utratę reputacji. Atak przez WSUS to nie jest ciekawostka dla geeków, to bardzo realny wektor, który pozwala złamać kręgosłup dużej firmie – szczególnie tam, gdzie compliance i patch management są raczej obowiązkiem niż pasją. WSUS, choć wydawał się reliktem przeszłości, znów przypomniał o sobie w najgorszy
możliwy sposób. To ostrzeżenie – jeśli pozwalasz, by narzędzia, których już „nie dotykasz”, nadal działały na produkcji, prędzej czy później ktoś to zauważy. Aktualizuj, monitoruj, analizuj logi i podejmuj decyzje biznesowe, nie sentymentalne. Świat cyber zagrożeń pędzi szybciej niż łatki Microsoftu – od Ciebie zależy, czy nadążysz.