Kerentanan Layanan Pembaruan Server Windows (WSUS) dieksploitasi secara aktif di alam liar. Para penjahat memanfaatkan kerentanan ini untuk mencuri data sensitif dari berbagai organisasi di berbagai industri.
Kerentanan tersebut, yang dilacak sebagai CVE-2025-59287 , telah ditambal oleh Microsoft pada tanggal 14 Oktober 2025, tetapi penyerang dengan cepat mulai menyalahgunakannya setelah kode bukti konsep tersedia untuk umum di GitHub.
Telemetri Sophos menunjukkan bahwa eksploitasi dimulai pada 24 Oktober 2025, hanya beberapa jam setelah analisis teknis dan kode eksploitasi dirilis secara daring.
Pelaku ancaman menargetkan server WSUS yang menghadap internet di universitas, perusahaan teknologi, perusahaan manufaktur, dan organisasi perawatan kesehatan, yang terutama berbasis di Amerika Serikat.
Walaupun Sophos telah mengonfirmasi enam insiden sejauh ini, para pakar keamanan meyakini jumlah sebenarnya organisasi yang disusupi jauh lebih tinggi.
Bagaimana Serangan Terungkap
Bagaimana Serangan Terungkap
Eksploitasi ini memanfaatkan bug deserialisasi kritis di WSUS yang memungkinkan eksekusi kode jarak jauh tanpa autentikasi. Ketika penyerang menargetkan server yang rentan, mereka menyuntikkan perintah PowerShell berkode Base64 melalui proses perintah bersarang yang berjalan di bawah hak istimewa pekerja IIS.
Skrip berbahaya tersebut dijalankan secara diam-diam pada sistem yang telah disusupi dan mengumpulkan informasi intelijen yang berharga tentang organisasi yang menjadi target.
Skrip berbahaya tersebut dijalankan secara diam-diam pada sistem yang telah disusupi dan mengumpulkan informasi intelijen yang berharga tentang organisasi yang menjadi target.
Data yang dikumpulkan mencakup alamat IP eksternal dan port host yang rentan, daftar lengkap pengguna domain Direktori Aktif, dan konfigurasi antarmuka jaringan yang terperinci. Informasi ini kemudian diekstraksi ke URL webhook.site yang dikendalikan oleh penyerang.
Peneliti Sophos menemukan empat URL webhook.site unik yang terkait dengan serangan tersebut, dengan tiga di antaranya terkait dengan tingkat layanan gratis platform tersebut.
Peneliti Sophos menemukan empat URL webhook.site unik yang terkait dengan serangan tersebut, dengan tiga di antaranya terkait dengan tingkat layanan gratis platform tersebut.
Dengan menganalisis log permintaan pada dua URL yang dapat diakses publik, peneliti mengamati bahwa eksploitasi dimulai pada pukul 02:53 UTC pada tanggal 24 Oktober dan mencapai ambang batas maksimum 100 permintaan pada pukul 11:32 UTC pada hari yang sama.
Eksploitasi cepat terhadap kerentanan ini menunjukkan seberapa cepat pelaku ancaman memanfaatkan kelemahan yang baru diungkapkan sebagai senjata.
Sifat serangan yang tidak pandang bulu menunjukkan penjahat dunia maya memindai server WSUS yang terekspos di internet dan mengeksploitasinya secara oportunistik alih-alih menargetkan organisasi tertentu.
Menurut Rafe Pilling, Direktur Threat Intelligence di Sophos, “Aktivitas ini menunjukkan bahwa pelaku ancaman bergerak cepat untuk mengeksploitasi kerentanan kritis di WSUS guna mengumpulkan data berharga dari organisasi yang rentan.”
Data yang dicuri dapat digunakan untuk pengintaian, serangan lanjutan, atau dijual kepada pelaku kejahatan siber lainnya di pasar gelap. Organisasi yang menjalankan layanan WSUS harus segera menerapkan patch keamanan Microsoft dan melakukan peninjauan menyeluruh terhadap konfigurasi jaringan mereka.
Selain itu, perusahaan harus mengidentifikasi setiap antarmuka server WSUS yang terekspos ke internet dan membatasi akses ke port WSUS 8530 dan 8531 hanya untuk sistem yang benar-benar memerlukan konektivitas.
Tim keamanan harus meninjau log untuk tanda-tanda eksploitasi dan menerapkan segmentasi jaringan untuk mencegah pergerakan lateral jika kompromi ditemukan.
Sumber : https://cybersecuritynews.com/wsus-vulnerability-actively-exploited/
Sumber : https://cybersecuritynews.com/wsus-vulnerability-actively-exploited/