Windows Server’daki Kritik WSUS Güvenlik Açığı Aktif Olarak İstismar Ediliyor

Uzaktan Kod Çalıştırmaya İzin Veren Kritik Zafiyet
CVE-2025-59287 kodlu açık, yalnızca WSUS Server rolü etkinleştirilmiş Windows sunucularını etkiliyor. Saldırganlar, kullanıcı etkileşimi veya yetkilendirme gerektirmeden düşük karmaşıklıkta saldırılarla uzaktan kötü amaçlı kod çalıştırabiliyor. Bu durum, saldırının zincirleme şekilde diğer WSUS sunucularına da yayılabilme riskini beraberinde getiriyor.

Microsoft’tan Olağan Dışı Güvenlik Güncellemesi
Microsoft, Perşembe günü tüm etkilenen sürümler için acil düzeltme paketleri yayımladı. Güncellemeler; Windows Server 2025, 23H2, 2022, 2019, 2016, 2012 R2 ve 2012 sürümleri için KB5070881’den KB5070887’ye kadar uzanan yamalarla sunuldu. Şirket ayrıca, yama uygulaması gecikecek sistem yöneticilerine WSUS rolünü devre dışı bırakma önerisinde bulundu.

Saldırılar Avrupa’da Başladı
Hollanda merkezli Eye Security firması, 24 Ekim sabahı itibarıyla zafiyetin aktif olarak tarandığını ve en az bir müşterisinin sisteminin farklı bir istismar yöntemiyle ele geçirildiğini duyurdu. Aynı zamanda Huntress Labs, saldırganların WSUS’un varsayılan 8530 ve 8531 numaralı TCP portlarını hedef alarak keşif amaçlı PowerShell komutları çalıştırdığını tespit etti.

Saldırılarda Kullanılan Komutlar Belirlendi
Huntress’ın analizine göre saldırganlar, sistem kullanıcılarını ve ağ yapılandırmalarını belirlemek için “whoami”, “net user /domain” ve “ipconfig /all” komutlarını kullanıyor. Bu bilgiler, saldırgan kontrolündeki uzak bir webhook adresine iletiliyor.

Ulusal Kurumlardan Uyarı
Hollanda Ulusal Siber Güvenlik Merkezi (NCSC-NL), 24 Ekim tarihli duyurusunda zafiyetin “sahada istismar edildiğini” doğruladı. Kurum, WSUS servislerinin genellikle internete açık olmaması gerektiğini hatırlatarak, kamuya açık istismar kodunun mevcut olmasının riski artırdığını belirtti.

Microsoft: “İstismar Olasılığı Yüksek”
Microsoft, söz konusu açığı “Exploitation More Likely” kategorisinde değerlendiriyor. Bu durum, CVE-2025-59287’nin saldırganlar için yüksek öncelikli bir hedef haline geldiğini gösteriyor. Şirket, henüz kendi güvenlik danışmanlığında aktif istismar bilgisini güncellemedi ancak tüm kullanıcıların en kısa sürede güncellemeleri uygulamasını öneriyor.

Ajans Expres Gazetesi