A falha WSUS CVE-2025-59287 foi divulgada pela Microsoft como uma vulnerabilidade de execução remota de código (RCE) no componente Windows Server Update Services (WSUS), com risco real de propagação automática (“wormable”). A Microsoft já liberou atualizações fora de banda (OOB) nesta quinta-feira (24) e alerta que administradores de sistema e profissionais de TI devem agir imediatamente.
Este artigo explica em detalhes quem está em risco, por que a vulnerabilidade é tão grave, e quais ações — patches e mitigações temporárias — você deve aplicar sem demora.
O que é a falha CVE-2025-59287 e por que ela é tão perigosa
A falha CVE-2025-59287 atinge o WSUS, ferramenta usada por empresas para gerenciar e distribuir atualizações internamente. A partir do momento em que o papel de servidor WSUS está habilitado, um invasor remoto não autenticado pode enviar um evento malicioso ao servidor WSUS.
Esse evento ativa um mecanismo de desserialização insegura de objetos (object deserialization) em um mecanismo legado, resultando em execução remota de código (RCE) com privilégios de SISTEMA no servidor.
O perigo é elevado porque:
- Já existe um PoC (prova de conceito) público que demonstra como explorar a vulnerabilidade.
- A falha é classificada como “wormable”, ou seja: servidores WSUS vulneráveis podem se infectar e propagar automaticamente para outros servidores similares, sem intervenção humana.
- O WSUS costuma ter um papel central em redes corporativas, o que eleva o impacto de uma invasão — acesso ao servidor pode significar distribuição de atualizações maliciosas ou controle de diversos clientes.
Quais servidores Windows estão afetados?
A vulnerabilidade afeta apenas servidores Windows que têm a função de servidor WSUS habilitada — servidores comuns e estações de trabalho que não executam WSUS não estão diretamente vulneráveis por esse vetor.
A Microsoft disponibilizou os seguintes patches de correção cumulativa:
- Windows Server 2025 (KB 5070881)
- Windows Server, versão 23H2 (KB 5070879)
- Windows Server 2022 (KB 5070884)
- Windows Server 2019 (KB 5070883)
- Windows Server 2016 (KB 5070882)
- Windows Server 2012 R2 (KB 5070886)
- Windows Server 2012 (KB 5070887)
A Microsoft confirma que esta é uma atualização cumulativa e não é necessário aplicar atualizações anteriores separadamente para esse fim.
Mitigações: O que fazer se não puder atualizar imediatamente
Para equipes de TI que não possam aplicar o patch imediatamente, a Microsoft recomenda alternativas temporárias (mitigations):
- Opção 1: Desabilitar completamente a função de servidor do WSUS no host. Essa ação remove o vetor de ataque, mas impede que o WSUS distribua atualizações aos clientes internos.
- Opção 2: Bloquear todo o tráfego de entrada para as portas 8530 e 8531 no firewall do host do servidor WSUS. Essa medida impede conexões externas e reduz a superfície de ataque.
Atenção: ambas as mitigations tornam o WSUS inoperante para distribuição de atualizações — isso significa que os computadores da rede deixarão de receber atualizações pelo servidor local até que o WSUS seja reativado ou substituído e o patch completo aplicado. É importante planejar esse impacto nas operações.
Efeito colateral importante do patch
Após a instalação das atualizações liberadas para corrigir a falha WSUS (CVE-2025-59287), a Microsoft informa que o recurso de exibição de detalhes de sincronização de erros no WSUS não estará mais visível. A funcionalidade foi temporariamente removida para mitigar o risco de exploração.
Administradores devem estar cientes de que não verão mais os detalhes de erro de sincronização no console WSUS após aplicar o patch — trata-se de efeito colateral previsto pela correção.
Conclusão: Atualize agora
A vulnerabilidade CVE-2025-59287 representa um risco extremo para ambientes corporativos que utilizam WSUS. Trata-se de uma falha crítica de RCE com privilégios de SISTEMA, em um componente central de infra-estrutura de TI, com PoC público disponível e potencial de propagação automática (“wormable”).
Se você gerencia servidores Windows com a função WSUS habilitada, esta é uma prioridade máxima: aplique imediatamente os patches de emergência que a Microsoft liberou. Se a atualização não puder ser aplicada de imediato, implemente as mitigations temporárias e monitore sua infraestrutura com rigor.
Não adie: a janela para exploração ativa já está aberta.
