A falha hotpatching no WSUS está mobilizando administradores de sistemas em todo o mundo. A Microsoft lançou uma atualização de emergência para corrigir a vulnerabilidade crítica CVE-2025-59287, que permite execução remota de código (RCE) no Windows Server Update Services (WSUS). Essa falha já está sendo explorada por atacantes.
No entanto, o primeiro patch distribuído, KB5070881, trouxe um novo problema: ele desativa o Hotpatching em servidores com Windows Server 2025, interrompendo atualizações sem reinicialização. Para resolver isso, a Microsoft lançou rapidamente uma segunda atualização, KB5070893, que corrige a vulnerabilidade sem afetar o Hotpatching.
Este artigo explica a linha do tempo, os riscos, qual patch instalar e o que fazer caso o patch errado já tenha sido aplicado.
O perigo: falha RCE (CVE-2025-59287) no WSUS
A vulnerabilidade CVE-2025-59287 permite que um atacante execute código remotamente com privilégios elevados no WSUS. Como o WSUS é responsável por distribuir patches para toda a infraestrutura corporativa, um comprometimento nesse serviço pode permitir controle total sobre diversos servidores e estações de trabalho.
A ameaça é considerada crítica porque:
- Pode ser explorada remotamente e sem autenticação.
- O WSUS conecta-se a vários hosts, facilitando movimentação lateral.
- Órgãos governamentais de cibersegurança alertaram que a falha está sendo ativamente explorada.
Ignorar essa vulnerabilidade significa permitir que invasores comprometam toda a cadeia de atualizações da organização.
O problema: patch KB5070881 quebra o Hotpatching
O Hotpatching é um recurso do Windows Server 2025 que permite instalar atualizações críticas sem reiniciar o servidor. Em ambientes de alta disponibilidade, manter serviços online sem interrupções é essencial.
O patch de emergência KB5070881, criado para corrigir o CVE-2025-59287, acabou causando um efeito inesperado:
- Desativou o Hotpatching em sistemas participantes do programa.
- Servidores passaram a ser tratados como se não fossem mais elegíveis para atualizações sem reinicialização.
- Administradores perceberam que as máquinas deixaram de receber Hotpatches nos meses seguintes.
Ou seja, ao corrigir a vulnerabilidade, o patch interrompeu um recurso essencial de continuidade de serviço.
A solução: patch KB5070893 corrige WSUS falha hotpatching
Para resolver o problema, a Microsoft lançou o patch KB5070893. Ele substitui a atualização problemática e:
- Corrige a vulnerabilidade CVE-2025-59287.
- Mantém o Hotpatching ativo nos servidores Windows Server 2025.
- Substitui automaticamente o patch anterior em sistemas elegíveis.
- Deixa de distribuir o KB5070881 para máquinas com Hotpatch habilitado.
Esse é o patch correto que os administradores devem aplicar para garantir segurança sem comprometer a disponibilidade.
O que fazer agora? Guia prático para SysAdmins
Cenário 1: Se o KB5070881 já foi instalado
- O servidor saiu do programa de Hotpatching e voltará a receber somente atualizações mensais que exigem reinicialização.
- Mesmo instalando o KB5070893, o Hotpatching não será reativado imediatamente.
- Para retornar ao programa, será necessário aguardar e instalar a linha de base de janeiro de 2026.
- Até lá, os servidores afetados se comportam como máquinas sem Hotpatching.
Cenário 2: Se o KB5070881 foi baixado, mas ainda não implantado
- Não implante esse patch.
- Acesse as configurações do Windows Update e siga o procedimento recomendado:
- Pausar atualizações.
- Retomar as atualizações.
- Verificar novamente para receber automaticamente o KB5070893.
- Confirme após a instalação que o Hotpatching permanece ativo.
Cenário 3: Se ainda não houve atualização
- Os servidores receberão diretamente o patch KB5070893 junto com a atualização base de outubro (KB5066835).
- Basta aplicar o pacote normalmente para corrigir a falha e continuar no programa de Hotpatching.
- Aproveite para revisar se o servidor WSUS está exposto à internet e reforçar a segurança das portas 8530 e 8531.
Conclusão: risco real, ação imediata
A falha CVE-2025-59287 no WSUS representa um risco sério e imediato para ambientes corporativos, especialmente porque já está sendo explorada. O primeiro patch, KB5070881, resolveu o problema de segurança, mas comprometeu a continuidade operacional ao quebrar o Hotpatching.
A atualização KB5070893 é a solução definitiva: protege contra a vulnerabilidade e mantém o recurso de atualizações sem reinicialização.
Administradores de Windows Server 2025 devem agir agora:
- Verificar se o KB5070881 foi aplicado.
- Substituir ou instalar diretamente o KB5070893.
- Garantir que seus servidores permaneçam seguros e com Hotpatching funcional.
