Microsoft: Kritische WSUS-Sicherheitslücke wird aktiv ausgenutzt
Eine schwerwiegende Sicherheitslücke in Windows Server Update Services ermöglichte Angreifern die vollständige Systemübernahme. Microsoft veröffentlichte ein außerplanmäßiges Update nach fehlgeschlagenem ersten Patch.
Microsoft schließt eine schwerwiegende Schwachstelle im Windows Server Update Service (WSUS) mit einem Notfall-Update und warnt vor aktiven Angriffen. Die Lücke CVE-2025-59287 erhält eine Bewertung von 9,8 von 10 Punkten – Höchststufe für IT-Sicherheit.
Das am 23. Oktober veröffentlichte außerplanmäßige Update wurde notwendig, nachdem sich herausstellte, dass der ursprüngliche Patch vom 14. Oktober das Problem nicht vollständig behoben hatte. Die US-Cybersicherheitsbehörde CISA stufte die Schwachstelle bereits am 24. Oktober als “bekannte ausgenutzte Schwachstelle” ein – ein Alarmsignal für Behörden und Unternehmen weltweit.
Besonders brisant: Sicherheitsforscher beobachten Angreifer, die binnen Stunden nach Veröffentlichung des Notfall-Updates das Internet nach verwundbaren Systemen durchsuchen. Ein öffentlich verfügbarer Exploit-Code macht die Ausnutzung der Lücke zum Kinderspiel.
WSUS-Schwachstelle ermöglicht vollständige Systemübernahme
Die Schwachstelle steckt im Herzen der Windows-Update-Infrastruktur vieler Unternehmen. WSUS ermöglicht IT-Administratoren die zentrale Verwaltung und Verteilung von Microsoft-Updates im gesamten Firmennetzwerk.
Der Fehler liegt in der “unsicheren Deserialisierung nicht vertrauenswürdiger Daten”. Angreifer können speziell präparierte Daten an einen verwundbaren WSUS-Server senden und dadurch beliebigen Code mit höchsten Systemrechten ausführen – ohne sich vorher authentifizieren zu müssen.
“Durch die Kompromittierung eines einzigen Servers kann ein Angreifer das gesamte Patch-Verteilungssystem übernehmen”, warnt Justin Moore, leitender Bedrohungsanalyst bei Palo Alto Networks Unit 42. Die Folge: Schadsoftware ließe sich als vermeintlich legitimes Microsoft-Update an alle verbundenen Arbeitsplätze und Server verteilen.
Wettlauf gegen die Zeit nach missglücktem ersten Patch
Der Verlauf von CVE-2025-59287 zeigt exemplarisch, wie dynamisch moderne Cyberbedrohungen sind. Microsoft adressierte die Schwachstelle zunächst im regulären Oktober-Patch-Zyklus am 14. Oktober. Später musste das Unternehmen jedoch eingestehen, dass das erste Update unvollständig war.
Das führte zum außerplanmäßigen Notfall-Update am 23. Oktober – zu spät für viele Unternehmen. Sicherheitsforscher der Firma Huntress meldeten bereits Angriffe auf mehrere Kundennetzwerke. Senior-Researcher John Hammond beschreibt die Attacke als simple “Point-and-Shoot”-Technik, die durch den öffentlichen Exploit-Code für jeden Hacker zugänglich wurde.
Oktober-Update behebt 193 Schwachstellen
Die kritische WSUS-Lücke war Teil eines der umfangreichsten Sicherheitsupdates des Jahres. Microsofts Oktober-Patch-Zyklus adressierte zwischen 172 und 193 Schwachstellen in Windows, Office, Azure und Exchange Server.
Darunter befanden sich mehrere Zero-Day-Vulnerabilitäten – Sicherheitslücken, die bereits vor Verfügbarkeit eines Patches ausgenutzt wurden. Microsoft bestätigte aktive Angriffe auf CVE-2025-24990, eine Schwachstelle in einem jahrelang mit Windows ausgelieferten Modem-Treiber, sowie CVE-2025-59230 im Windows Remote Access Connection Manager.
Das Oktober-Update markierte zudem das offizielle Support-Ende für Windows 10 – das Betriebssystem erhält keine regulären Sicherheitsupdates mehr.
Anzeige: Windows 10 erhält keine regulären Sicherheitsupdates mehr – und viele PCs gelten offiziell als „inkompatibel“ für Windows 11. Ein kostenloser PDF-Report zeigt den legalen Weg, wie das Upgrade trotzdem gelingt – Schritt für Schritt, ohne neue Hardware und ohne Datenverlust. Ideal für alle, die schnell und sicher wechseln möchten. Jetzt den Gratis-Report sichern
Sofortmaßnahmen und langfristige Strategie
Microsoft und CISA fordern Administratoren auf, das Update vom 23. Oktober umgehend zu installieren. Ein Neustart ist zur Vervollständigung erforderlich. Organisationen, die das Update nicht sofort einspielen können, sollten den WSUS-Dienst temporär deaktivieren oder eingehenden Traffic zu den Ports 8530 und 8531 blockieren.
Langfristig dürfte der Vorfall Microsofts Strategie befeuern, Kunden von lokalen Verwaltungstools wie WSUS hin zu modernen Cloud-Lösungen wie Intune zu bewegen. WSUS wird zwar weiterhin unterstützt, aber nicht mehr aktiv weiterentwickelt. Diese kritische Schwachstelle demonstriert die Risiken veralteter Infrastruktur in einer zunehmend aggressiven Bedrohungslandschaft.
