WSUS 高危漏洞 CVE-2025-59287 遭利用：緊急更新與加強邊界防禦指南

2025年10月24日，Microsoft 公布緊急更新，修補 WSUS (Windows Server Update Services) 服務器中發現的 CVE‑2025‑59287 漏洞。該漏洞可使攻擊者在未經授權的情況下，透過遠端請求執行任意代碼，並取得系統管理權限。本文針對漏洞技術細節、已知攻擊案例、緊急修補流程及邊界防禦最佳實踐進行深入剖析，協助網絡安全專業人員快速評估風險並落實防護。

漏洞技術概述

CVE‑2025‑59287 影響 Microsoft Windows Server 2025 及 Windows Server 2026 版本的 WSUS 服務器。攻擊者可透過偽造的 HTTP 請求，利用 WSUS 內部的非安全代碼路徑，傳送特製的 XML 參數。WSUS 服務器在處理此 XML 時，未正確驗證輸入，導致 XML 內嵌的 PowerShell 指令被直接執行。攻擊者只需在網路內部或受信任子網域內發送此請求，即可在目標 WSUS 服務器上提升權限並執行任意指令。

攻擊流程：

偽造 SOAP/XML 請求，包含惡意 PowerShell 代碼。
送至 WSUS 服務器的 8530 或 8531 端口。
WSUS 服務器解析請求，未檢查 XML 內容，直接執行內嵌指令。
攻擊者取得 SYSTEM 權限，可進一步橫向移動至域控制器。

已知利用情境

在 2025年10月24日的安全通報中，安全研究員發現多個企業內部網路存在未打補丁的 WSUS 服務器。利用上述漏洞，攻擊者在幾分鐘內完成了系統升級，並在受害者網路中植入持久化後門，最終取得域控制器的管理權限。此類事件已被歸類為高危險事件，且多數受害者在事件發生後 1 天內才發現異常。

緊急更新作業流程

為確保 WSUS 服務器立即恢復安全，請參考下列步驟進行緊急修補：

📂 收合（點我收起）

# 1. 下載 WSUS 緊急更新
Invoke-WebRequest -Uri "https://download.microsoft.com/download/WSUS-CVE-2025-59287.msu" -OutFile "WSUS-CVE-2025-59287.msu"

# 2. 安裝更新
Start-Process -FilePath "WSUS-CVE-2025-59287.msu" -ArgumentList "/quiet /norestart" -Wait

# 3. 重啟 WSUS 服務
Restart-Service -Name "WsusService"

備註：

確保服務器已連線至 Windows Update，或使用內部 WSUS 服務器下載更新。
更新後請檢查 WSUS 服務器日誌，確認「CVE‑2025‑59287」相關錯誤已不再出現。
若無法立即重啟服務器，請先暫停 WSUS 服務，完成更新後再啟動。

加強邊界防禦建議

網路分段與防火牆規則：將 WSUS 服務器放置於隔離子網，僅允許內部可信主機與管理員 IP 發送請求。設定防火牆僅開放 8530/8531 端口，並允許來自管理子網的連線。
WSUS 服務器最小化設定：停用不必要的功能，如 Web 管理界面，並限制 WebDAV 服務。
實施 RDP 連線監控：在 WSUS 服務器上啟用 RDP 監控，並使用多因素驗證 (MFA) 進行遠端管理。
日誌審核與異常檢測：部署 SIEM 方案，關注 WSUS 服務器的 IIS 日誌，檢測非正常 SOAP/XML 請求。
定期漏洞掃描與滲透測試：使用專業安全掃描工具評估 WSUS 的安全性，並進行滲透測試以驗證修補效果。

MITRE ATT&CK 對應

T1190 – Exploit Public-Facing Application（利用公開面向的應用程式漏洞）
T1203 – Exploitation for Privilege Escalation（利用漏洞提升權限）
T1078 – Valid Accounts（利用已授權帳戶進行攻擊）
T1036 – Masquerading（偽裝成合法進程執行惡意操作）

CVE / 漏洞摘要整理

CVE / 漏洞編號	影響產品 / 元件	CVSS / 嚴重度	說明	修補建議
CVE-2025-59287	Microsoft Windows Server 2025/2026 – WSUS 服務器	9.8 (Critical)	WSUS 服務器在處理 XML 請求時未正確驗證，允許遠端執行任意 PowerShell 指令。	下載並安裝 Microsoft 提供的緊急更新；強化防火牆、網路分段與最小權限設定。

結論與行動項目

CVE‑2025‑59287 的發現與利用顯示，WSUS 服務器在企業內部網路中的關鍵性與易被攻擊的脆弱性。緊急更新雖能即時修補漏洞，但若不配合網路分段、最小權限與持續監控，仍可能遭受後續利用。IT 部門應立即確認所有 WSUS 節點已安裝更新，並落實防火牆、日誌監控與定期漏洞掃描。長期而言，建議評估是否採用雲端更新服務（如 Microsoft Intune）以減少本地 WSUS 的運維風險。