Microsoft veröffentlicht überraschend Windows Server-Patch

Microsoft hat ein außerplanmäßiges Update veröffentlicht, um eine kritische Sicherheitslücke in Windows Server Update Services (WSUS) zu schließen.

Das Update CVE-2025-59287 behebt eine Sicherheitslücke, die die Remote-Ausführung von Code in Windows Server-Versionen 2012 bis 2025 ermöglicht. Die Sicherheitslücke entsteht durch die unsichere Deserialisierung nicht vertrauenswürdiger Daten, wodurch nicht authentifizierte Angreifer beliebigen Code ausführen können. Ein Proof-of-Concept-Exploit ist öffentlich verfügbar.

Der Sicherheitslücke wurde die maximale Einstufung "kritisch" zugewiesen. Betroffen sind nur Server, auf denen die WSUS-Rolle aktiviert ist.

Microsoft empfiehlt Administratoren, die den Patch nicht sofort installieren können, die Rolle auf den betroffenen Servern zu deaktivieren – obwohl dies natürlich Client-Updates vom Server verhindert. Alternativ können sie den eingehenden Datenverkehr zu den Ports 8530 und 8531 auf der Host-Firewall blockieren, um WSUS zu deaktivieren.

Das Update ist kumulativ und enthält die Patches vom Oktober, sofern diese noch nicht installiert wurden. Ein Neustart ist erforderlich.

Windows ist voll von Legacy-Code, der nur darauf wartet, von Angreifern missbraucht zu werden. Alles, was zur Ausführung von Remote-Code führen könnte, muss jedoch schnell behoben oder gemildert werden. Dieses spezielle Problem hängt laut Microsoft mit einem „veralteten Serialisierungsmechanismus” zusammen.

WSUS steht auf der Liste der veralteten Komponenten für Windows Server, was bedeutet, dass es nicht mehr aktiv weiterentwickelt wird, aber weiterhin ein unterstützter Teil des Betriebssystems bleibt. Microsoft hat kürzlich bestätigt, dass es die Synchronisierung von Treiber-Updates mit WSUS weiterhin unterstützen wird, nachdem Nutzer gegen die Pläne protestiert hatten, die Unterstützung im April 2025 einzustellen.

Die Botschaft von Microsoft an Administratoren ist jedoch klar: Wechseln Sie zu einer Alternative wie dem cloudbasierten Intune-Dienst.

Letztendlich ist ein Out-of-Band-Update eine ernste Angelegenheit, insbesondere für eine veraltete Windows-Komponente. Obwohl kein Entfernungsdatum bekannt gegeben wurde, wirft diese kritische Sicherheitslücke Fragen zur langfristigen Lebensfähigkeit von WSUS auf.