Pánico en las infraestructuras de Windows: una vulnerabilidad «desparasitable» en WSUS brinda a los atacantes acceso total a los sistemas. Microsoft implementa un parche de emergencia mientras los CISO intentan contener la infracción.
Los ciberatacantes están explotando activamente una vulnerabilidad crítica en Windows Server Update Services (WSUS), uno de los servicios emblemáticos del ecosistema de Windows Server, lo que ha obligado a Microsoft a lanzar un parche de emergencia fuera de ciclo. Este defecto, al que se hace referencia CVE-2025-59287 con una puntuación CVSS hipercrítica de 9,8 sobre 10pone en peligro la infraestructura de distribución de actualizaciones de Windows de muchas organizaciones, transformándola en una puerta de entrada abierta a todo el sistema de información.
Deserialización peligrosa con consecuencias máximas
La vulnerabilidad reside en un mecanismo de deserialización inseguro dentro de WSUS, que permite a un atacante no autenticado ejecutar código arbitrario de forma remota con privilegios de SISTEMA. Esta falla afecta a todas las versiones de Windows Server desde 2012 hasta 2025 con la función WSUS habilitada. La explotación no requiere interacción del usuario y puede activarse enviando una solicitud simple especialmente diseñada a los puertos TCP 8530 o 8531.
Y el nivel de alerta es máximo desde el viernes. En opinión de muchos expertos, ya es demasiado tarde. Si una instancia de WSUS sin parches está abierta a Internet, en este punto probablemente ya esté comprometida. Según los últimos informes de varios laboratorios de investigación, más de 8.000 instancias vulnerables de WSUS seguían expuestas en Internet este lunes por la mañana.
Explotaciones activas tan pronto como se publique el parche inicial
Los primeros intentos de explotación se detectaron el 23 de octubre de 2025 a las 23:34 UTC, apenas unas horas después de que Microsoft publicara el parche de emergencia. Los equipos de Huntress observaron que los atacantes atacaban metódicamente instancias de WSUS expuestas en sus puertos predeterminados.
El modo de funcionamiento permanece constante: los atacantes aprovechan la deserialización a través de la cookie de autorización para iniciar la ejecución del código. La jerga informática enmascara en realidad la sencillez del ataque, que está al alcance del más mínimo hacker, sobre todo porque los códigos fuente para explotar el fallo circulan abiertamente desde hace más de 48 horas en las redes sociales.
Las cargas útiles observadas hasta ahora activan el símbolo del sistema y PowerShell a través del proceso de trabajo HTTP y el binario del servicio WSUS. Luego, una carga útil de PowerShell codificada en base64 enumera los servidores para recopilar información confidencial de la red y del usuario antes de filtrarla a webhooks controlados por el atacante.
Infraestructura crítica particularmente expuesta
WSUS representa un componente crítico para la gestión centralizada de actualizaciones en entornos de Windows Server. En teoría, su compromiso permite a un atacante distribuir actualizaciones maliciosas a toda la flota de TI de una organización, transformando el sistema de seguridad en un vector de ataque preferido.
La naturaleza potencialmente «desafectable» de la vulnerabilidad de servidor a servidor de WSUS representa una amenaza adicional. En un entorno mal segmentado, un único compromiso podría propagarse lateralmente por toda la infraestructura WSUS de la organización.
Medidas de emergencia que se aplicarán sin demora
Ante esta amenaza activa, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) añadió CVE-2025-59287 a su catálogo de vulnerabilidades explotadas conocidas (KEV), exigiendo a las agencias federales de EE. UU. que remediaran antes del 14 de noviembre de 2025 e invitando a todas las empresas estadounidenses a parchear sus servidores lo más rápido posible.
Para las organizaciones que no pueden implementar el parche de inmediato, Microsoft ofrece dos soluciones temporales. La primera es desactivar completamente la función del servidor WSUS en los sistemas afectados. El segundo implica bloquear el tráfico entrante en los puertos 8530 y 8531 en el firewall local. Sin embargo, estos dos enfoques hacen que WSUS no sea funcional, privando a los clientes de su fuente de actualización centralizada. Pero el editor es categórico: estas medidas de protección no deben eliminarse antes de haber parcheado los servidores y reiniciados, un paso esencial para que la remediación sea efectiva.
Una llamada de atención para repensar la arquitectura WSUS
Más allá de la emergencia inmediata, esta crisis plantea preguntas fundamentales sobre la exposición de la infraestructura de WSUS. Benjamin Harris de watchTowr no se anda con rodeos: «Realmente no hay ninguna razón legítima en 2025 para que WSUS sea accesible desde Internet; cualquier organización en esta situación probablemente necesite alguna orientación para comprender cómo llegó allí». »
El hecho de que WSUS esté en la lista de características obsoletas de Windows Server, sin desarrollo activo pero aún soportadas, añade una dimensión estratégica a esta crisis. Microsoft está claramente impulsando soluciones en la nube como Intune, pero muchas organizaciones siguen dependiendo de esta infraestructura obsoleta por razones operativas o regulatorias.
Esta vulnerabilidad crítica en un componente al final de su vida plantea interrogantes sobre las buenas prácticas y la forma en que las empresas pueden evolucionarlas con el tiempo. Los equipos de seguridad ahora deben evaluar no solo la urgencia de aplicar parches, sino también la relevancia de mantener los servicios WSUS expuestos, incluso indirectamente, en su arquitectura de red.
La velocidad con la que los atacantes explotaron esta vulnerabilidad ilustra la creciente complejidad de proteger la infraestructura heredada. Para los CISO, esta crisis de WSUS es un claro recordatorio de la necesidad de inventariar y segmentar rigurosamente todos los servicios del sistema, en particular aquellos considerados «internos» pero potencialmente expuestos por un error de configuración.
Los parches para las diferentes versiones de Windows Server se pueden descargar aquí:
CVE-2025-59287 – Guía de actualización de seguridad – Microsoft – Vulnerabilidad de ejecución remota de código del Servicio de actualización de Windows Server (WSUS)
Lea también:
Microsoft: todavía hay muchas vulnerabilidades a pesar de la iniciativa SFI
Microsoft corrige una falla que eludió la seguridad de Windows
Microsoft explica las actualizaciones inoportunas de Windows Server 2025
Windows Server 2025 está oficialmente disponible
Ciberseguridad: Microsoft intensifica sus esfuerzos, pero el camino sigue siendo largo
[
