CVE詳細 - CVE-2025-59287-

CVE-2025-59287 の詳細

CVEの情報

説明:
Deserialization of untrusted data in Windows Server Update Service allows an unauthorized attacker to execute code over a network.

CVE更新日: 2025-10-14 17:16:11.670000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2025-10-24

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999800000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-59287に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2025-59287は、Windows Server Update Services (WSUS) におけるクリティカルなリモートコード実行 (RCE) の脆弱性です。この脆弱性は、信頼できないデータの安全でない逆シリアル化 (deserialization) に起因します。

1.1 影響

この脆弱性が悪用されると、リモートの認証されていない攻撃者が、影響を受けるサーバー上でSYSTEM権限で任意のコードを実行できるようになります。これにより、システムが完全に侵害される可能性があり、攻撃者は悪意のある更新プログラムをクライアントに配布することで、大規模なサプライチェーン攻撃を引き起こす可能性もあります。

1.2 深刻度

CVSSスコア9.8の「緊急」として評価されており、すでに攻撃が活発に確認されています。CISA (U.S. Cybersecurity and Infrastructure Security Agency) は、この脆弱性を既知の悪用されている脆弱性 (KEV) カタログに追加し、緊急の対応が必要であることを強調しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のMicrosoft Windows Serverのバージョンが影響を受けます。

Microsoft Windows Server 2012
Microsoft Windows Server 2012 R2
Microsoft Windows Server 2016
Microsoft Windows Server 2019
Microsoft Windows Server 2022 (23H2 Editionを含む)
Microsoft Windows Server 2025

2.2 影響を受ける設定

この脆弱性は、WSUSサーバーの役割が有効になっているサーバーのみに影響します。WSUSサーバーの役割は、デフォルトでは有効になっていません。脆弱性は、WSUSのデフォルトポートであるTCP 8530 (HTTP) および 8531 (HTTPS) で公開されます。

3. 影響を受けた時の兆候

以下のような兆候が見られる場合があります。

予期しない送信元からの、または異常な要求パターンを伴うWSUSポート (8530/8531) への異常なネットワーク接続。
WSUSアプリケーションプール (w3wp.exe) または関連サービス (wsusservice.exe) から予期しない子プロセス（特にPowerShellやcmd.exeの活動）が生成されている。
WSUSサーバー上のIISワーカープロセスから発生する疑わしいPowerShell、cmd.exe、またはその他のインタプリタの活動。
WSUSインフラストラクチャにおける異常な認証イベントまたは権限昇格の試行。
WSUSディレクトリまたはWindowsシステムフォルダに、改ざんされたファイルや新しい実行ファイルが出現している。
WSUSサーバー上で偵察目的のPowerShellコマンド（例: whoami、net user /domain、ipconfig /all）が実行されている。
webhook.siteやpastebins、疑わしいIPアドレスなど、一般的でないドメインや一時的なサービスへの外部へのHTTP(S)接続。

4. 推奨対策

4.1 本対策

セキュリティ更新プログラムの適用: Microsoftが2025年10月23日にリリースした帯域外セキュリティ更新プログラムを直ちに適用してください。インストール後にはシステムの再起動が必要です。
WSUSサーバーのインターネット公開の制限: WSUSサーバーがインターネットに公開されていないことを確認してください。

4.2 暫定回避策（緩和策）

セキュリティ更新プログラムをすぐに適用できない場合は、以下のいずれかの回避策を検討してください。

WSUSサーバーの役割の無効化: サーバー上のWSUSサーバーの役割を無効にします（これにより更新プログラムの配布は停止されます）。
ポートのブロック: ホストレベルのファイアウォールで、TCPポート8530および8531へのすべてのインバウンドトラフィックをブロックします。これらの回避策は、更新プログラムがインストールされるまで元に戻さないでください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る