Windows Server Update Services (WSUS) 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2025-59287)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTWindows Server Update Services (WSUS)가 활성화된 모든 Windows Server 환경.
인증되지 않은 원격 공격자가 네트워크를 통해 악성 데이터를 전송하여 대상 서버에서 시스템 권한(SYSTEM)으로 임의 코드를 실행할 수 있습니다.
Microsoft 공식 보안 패치를 즉시 적용하고, 패치 적용 전까지 WSUS 포트(8530, 8531)에 대한 네트워크 접근을 신뢰할 수 있는 대역으로 제한하십시오.
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Microsoft 공식 보안 업데이트 가이드를 참조하여 최신 누적 업데이트(LCU)를 즉시 적용하십시오. 아래 PowerShell 명령어를 사용하여 누적 업데이트 설치 및 WSUS 서비스를 재시작할 수 있습니다.
# Windows Update 에이전트를 통한 누적 업데이트 확인 및 설치
Install-Module PSWindowsUpdate -Force -SkipPublisherCheck
Get-WindowsUpdate -AcceptAll -Install -AutoReboot
# 업데이트 적용 후 WSUS 서비스 상태 확인 및 재시작
Restart-Service -Name 'W3SVC' -Force
Restart-Service -Name 'WsusService' -Force2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치 적용이 어려운 경우, 방화벽 설정을 통해 WSUS 포트(기본 TCP 8530, 8531)로의 접근을 신뢰할 수 있는 내부 IP 대역 및 관리자 IP로만 제한하십시오.
# 외부망으로부터의 WSUS 포트 접근 차단 및 특정 서브넷만 허용하는 방화벽 규칙 생성
New-NetFirewallRule -DisplayName 'Block-External-WSUS-HTTP' -Direction Inbound -LocalPort 8530 -Protocol TCP -Action Block
New-NetFirewallRule -DisplayName 'Block-External-WSUS-HTTPS' -Direction Inbound -LocalPort 8531 -Protocol TCP -Action Block
# 신뢰할 수 있는 내부 대역(예: 10.0.0.0/8)에 대해서만 허용 규칙 추가
New-NetFirewallRule -DisplayName 'Allow-Internal-WSUS-HTTP' -Direction Inbound -LocalPort 8530 -Protocol TCP -RemoteAddress '10.0.0.0/8' -Action Allow3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
IIS 웹 로그 및 이벤트 뷰어를 분석하여 비정상적인 SOAP 요청이나 역직렬화 오류 흔적을 탐지할 수 있습니다.
# IIS 로그에서 WSUS API 엔드포인트(/ClientWebService/client.asmx)에 대한 비정상적인 POST 요청 검색
$IISLogPath = 'C:\inetpub\logs\LogFiles\W3SVC*\*.log'
Select-String -Path $IISLogPath -Pattern 'POST /ClientWebService/client.asmx' | Select-Object -First 50
# 이벤트 뷰어에서 WSUS 관련 오류 및 비정상 프로세스 생성 이력 확인
Get-WinEvent -LogName 'Application' | Where-Object { $_.ProviderName -eq 'Windows Server Update Services' -and $_.LevelDisplayName -eq 'Error' } | Select-Object TimeCreated, Id, Message -First 20패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2025-59287)은 Windows Server Update Services (WSUS)에서 신뢰할 수 없는 데이터를 역직렬화(Deserialization of Untrusted Data)할 때 발생하는 심각한 원격 코드 실행(RCE) 취약점입니다. WSUS API 엔드포인트가 클라이언트 또는 하위 서버로부터 수신한 직렬화된 객체를 적절한 검증 및 필터링 없이 처리하는 과정(CWE-502)에서 발생합니다. 공격자는 조작된 .NET 직렬화 페이로드를 전송하여 서버 측에서 임의의 코드가 실행되도록 유도할 수 있습니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 WSUS가 통신을 위해 사용하는 HTTP/HTTPS 포트(기본값 TCP 8530 및 8531)를 대상으로 공격을 수행합니다. 인증되지 않은 상태에서도 접근 가능한 특정 SOAP 웹 서비스 엔드포인트에 악성 .NET 가젯 체인(예: TypeConfuseDelegate 등)이 포함된 XML/SOAP 요청을 전송합니다. WSUS 서비스가 이 요청을 수신하여 역직렬화하는 순간, 공격자가 의도한 시스템 명령어가 로컬 시스템(NT AUTHORITY\SYSTEM) 권한으로 실행되어 서버의 완전한 제어권을 탈취당하게 됩니다.
3. 비즈니스 및 인프라 파급 영향
WSUS는 기업 내부망의 패치 관리 및 배포를 담당하는 핵심 인프라 자산입니다. 본 취약점은 CVSS 9.8의 치명적인 등급을 가졌으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되었습니다. WSUS 서버가 침해당할 경우, 공격자는 이를 교두보 삼아 내부망 전체로 횡적 이동(Lateral Movement)을 수행하거나 악성 업데이트를 위장 배포하여 전사적인 랜섬웨어 감염 및 데이터 유출 사고를 유발할 수 있습니다.
공식 보안 권고문 및 참조 링크
Deserialization of untrusted data in Windows Server Update Service allows an unauthorized attacker to execute code over a network.
자주 묻는 실무 질문 (FAQ — CVE-2025-59287)
FAQQ1. CVE-2025-59287 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2025-59287의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 100.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2025-59287에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows server, windows server update services입니다. 상세 영향 범위: Windows Server Update Services (WSUS)가 구동 중인 Windows Server 제품군 전체
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Microsoft 공식 보안 패치를 즉시 적용하고, 패치 적용 전까지 WSUS 포트(8530, 8531)에 대한 네트워크 접근을 신뢰할 수 있는 대역으로 제한하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2025-59287 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (microsoft)
동일 카테고리 전체 보기 →Microsoft Windows Shell 커맨드 인젝션 및 보안 기능 우회 취약점 (CVE-2026-96951) 긴급 보안 권고
[영향 대상] Windows 10, 11 및 Windows Server 등 Windows Shell 구성 요소를 사용하는 운영체제 전반
Microsoft Active Directory Federation Services (AD FS) 권한 상승 취약점 (CVE-2026-56155) 보안 권고
[영향 대상] Active Directory Federation Services (AD FS)가 활성화된 Windows Server 환경
Microsoft Windows Shell 보안 기능 우회 취약점 (CVE-2026-21510) 긴급 보안 권고
[영향 대상] Microsoft Windows 운영체제 전반의 Windows Shell 구성 요소
Windows ALPC 힙 기반 버퍼 오버플로우 권한 상승 취약점 (CVE-2026-85880) 긴급 보안 권고
[영향 대상] Windows 운영체제 전반의 로컬 인증된 사용자 계정
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.