Il panorama della sicurezza informatica è stato recentemente scosso dalla scoperta di una vulnerabilità critica di tipo Remote Code Execution (RCE) nel servizio Windows Server Update Services (WSUS) di Microsoft.

Identificata come CVE-2025-59287 e con un punteggio CVSS di 9.8 (Critico), questa falla rappresenta un rischio elevato e immediato per le organizzazioni che utilizzano WSUS per la gestione centralizzata degli aggiornamenti.

La vulnerabilità è particolarmente pericolosa perché consente a un aggressore remoto e non autenticato di eseguire codice arbitrario con privilegi di sistema sui server WSUS interessati.

Dopo il rilascio di una patch di emergenza “out-of-band” da parte di Microsoft il 23 ottobre 2025, necessaria in quanto la patch iniziale di ottobre non aveva risolto completamente il problema, è stata subito osservata una attività di sfruttamento attiva in rete.

L’Agenzia statunitense per la cybersicurezza e la sicurezza delle infrastrutture (CISA) ha aggiunto rapidamente questa vulnerabilità al suo Catalogo delle vulnerabilità sfruttate note (KEV), sottolineando l’urgenza di una risposta immediata da parte degli amministratori di sistema.

Dettagli sul problema

WSUS è uno strumento fondamentale nelle reti aziendali, fungendo da sorgente fidata per la distribuzione delle patch software.

La sua natura di servizio infrastrutturale chiave lo rende un obiettivo ad alto valore, poiché un suo compromesso può fornire una testa di ponte per il movimento laterale e la compromissione diffusa della rete.

La radice del problema risiede in un caso di “deserializzazione non sicura di dati non attendibili” (unsafe deserialization of untrusted data) e rientra tra le cause del RCE (Remote Code Execution) come effetto finale.

Questo difetto tecnico può essere sfruttato in diverse vie d’attacco note:

• Endpoint GetCookie(): un aggressore può inviare una richiesta appositamente elaborata all’endpoint GetCookie(), inducendo il server a deserializzare in modo improprio un oggetto AuthorizationCookie utilizzando il non sicuro BinaryFormatter.
• Servizio ReportingWebService: un percorso alternativo mira al ReportingWebService per innescare una deserializzazione non sicura tramite SoapFormatter.

In entrambi gli scenari, l’aggressore può indurre il sistema ad eseguire codice dannoso con il massimo livello di privilegi: System

La vulnerabilità è specifica per i sistemi su cui è abilitato il ruolo Server WSUS e risultano vulnerabili Microsoft Windows Server 2012, 2012 R2, 2016, 2019, 2022 (inclusa la versione 23H2) e 2025.

Dettagli Tecnici dell’Exploit

A seguito della recente divulgazione pubblica di un Proof-of-Concept (PoC) per l’exploit, abbiamo condotto un test di laboratorio per analizzare il funzionamento e l’impatto potenziale.

Il PoC, reperibile al link: gist.github.com/hawktrace/76b3…

Questo è specificamente progettato per colpire le istanze di Windows Server Update Services (WSUS) esposte pubblicamente sulle porte TCP predefinite 8530 (HTTP) e 8531 (HTTPS).

L’esecuzione del PoC è semplice, occorre avviare lo script indicare il target http/https vulnerabile come argomento.

Questo innesca l’avvio di comandi PowerShell maligni tramite processi figlio e utilizza la seconda modalità di exploit spiegata precedentemetne (ReportingWebService), in questo caso specifico viene aperto il processo calc.exe (calcolatrice di sistema).

I comandi dannosi sono presenti in formato Base64 codificato e vengono eseguiti durante una fase di deserializzazione all’interno del servizio WSUS.

Questo meccanismo di deserializzazione rappresenta il punto cruciale in cui un aggressore può iniettare qualsiasi altro comando per condurre attività di ricognizione o post-sfruttamento.

La sequenza di processi nel test di laboratorio è stata la seguente:

WsusService.exe -> Cmd.exe -> Calc.exe -> win32calc.exe

Qui i processi figli spawnati dai processi legittimi WSUS (wsusservice.exe).

(Nota: in questo specifico PoC, l’esecuzione di calc.exe (Calcolatrice di sistema) funge da prova non distruttiva della corretta esecuzione del codice remoto).

Il comando oltretutto rimane persistente: al riavvio del server o del servizio viene eseguita la RCE precedentemente iniettata. Lo stesso accade quando si avvia la console MMC (Microsoft Management Console) con lo snap-in di WSUS, utilizzato per configurare e monitorare il servizio.

Video Dimostrativo: Il funzionamento completo di questo PoC è visibile nel video disponibile a questo link: youtube.com/watch?v=CH4Ped59SL…

youtube.com/embed/CH4Ped59SLY?…

Punti Chiave di Monitoraggio e Artefatti

La tabella seguente riassume gli artefatti cruciali da esaminare e i relativi criteri di rilevamento per identificare una possibile compromissione da questa CVE:

Qui un esempio del log durante i test.

Il contenuto di SoftwareDistribution.log

E infine anche il log di IIS dove è presente appunto un useragent anomalo.

(questo log è accessibile solo se installato la funzionalità “HTTP Logging” nella sotto-categoria “Web server/Health and Diagnostics del server”)

Superficie di attacco globale

La superficie di attacco associata a questa vulnerabilità è estremamente significativa.

Allo stato attuale, migliaia di istanze WSUS rimangono esposte a Internet a livello globale e sono potenzialmente vulnerabili. Una ricerca condotta su Shodan evidenzia oltre 480.000 risultati a livello mondiale, di cui più di 500 solo in Italia, classificati come servizi aperti in nelle due port di default riconducibili a WSUS.

Raccomandazioni e Mitigazioni

La raccomandazione principale è di implementare immediatamente le patch di sicurezza di emergenza rilasciate da Microsoft.

Per le organizzazioni che non sono in grado di distribuire immediatamente gli aggiornamenti, sono state suggerite da Microsoft le seguenti misure temporanee per mitigare il rischio, da intendersi come soluzioni provvisorie:

1. Disabilitare il ruolo WSUS server: Disabilitare/Rimuovere completamente il ruolo WSUS dal server per eliminare il vettore di attacco. Si noti che ciò interrompe la capacità del server di gestire e distribuire gli aggiornamenti ai sistemi client.
2. Bloccare le porte ad alto rischio: Bloccare tutto il traffico in entrata sulle porte TCP 8530 e 8531 tramite il firewall a livello host. Come per la disabilitazione del ruolo, questa azione impedisce al server di operare.

È fondamentale che le organizzazioni seguano queste indicazioni e si impegnino in attività di threat hunting per rilevare eventuali segni di compromissione o tentativi di sfruttamento pregressi.

L'articolo Tasting the Exploit: HackerHood testa l’Exploit di Microsoft WSUS CVE-2025-59287 proviene da Red Hot Cyber.

THIS IS A BONUS EDITION OF DIGITAL POLITICS. I'm Mark Scott, and I'm breaking my rule of not discussing my day job in this newsletter. I'm in New York to present this report about the current gaps in social media data access and the public-private funding opportunities to meet those challenges.

The project is part of my underlying thesis that much, if not all, of digital policymaking is done in a vacuum without quantifiable evidence.

When it comes to the effects of social media on society and the potential need for lawmakers to intervene, we are maddeningly blind to how these platforms operate; what impact they have on people's online-offline habits; and what interventions, if any, are required to make social media more transparent and accountability to all of us.

The report is a call-to-arms for practical steps required to move beyond educated guesses in digital policymaking to evidence-based oversight.

It's a cross-post from Tech Policy Press.

Let's get started:

THE CASE FOR SUPPORTING SOCIAL MEDIA DATA ACCESS

IN THE HIERARCHY OF DIGITAL POLICYMAKING PRIORITIES, it’s artificial intelligence, not platform governance, that is now the cause célèbre.

From the United States’ public aim to dominate the era of AI to the rise of so-called AI slop created by apps such as OpenAI’s Sora, the emerging technology has seemingly become the sole priority across governments, tech companies, philanthropic organizations and civil society groups.

This fixation on AI is a mistake.

It’s a mistake because it relegates equally pressing areas of digital rulemaking — especially those related to social media’s impact on the wider world — down the pecking order at a time when these global platforms have a greater say on people’s online, and increasingly offline, habits than ever before.

Current regulatory efforts, primarily in Europe, to rein in potential abuses linked to platforms controlled by Meta, Alphabet and TikTok have so far been more bark than bite. Social media giants remain black boxes to outsiders seeking to shine a light on how the companies’ content algorithms determine what people see in their daily feeds.

On Oct 24, the European Commission announced a preliminary finding under the European Union's Digital Services Act that Meta and TikTok had failed under their obligations to make it easier for researchers to access public data on their platforms.

These companies’ ability to decide how their users consume content on everything from the Israel-Hamas conflict to elections from Germany to Argentina is now equally interwoven into Washington’s attempts to roll back international online safety legislation in the presumed defense of US citizens’ First Amendment rights.

Confronted with this cavalcade of ongoing social media-enabled problems, the collective digital policymaking shift to focus almost exclusively on artificial intelligence is the epitome of the distracted boyfriend meme.

While governments, industry and civil society compete to outdo themselves on AI policymaking, the current ills associated with social media are being left behind — a waning after-thought in the global AI hype that has transfixed the public, set off a gold rush between industrial rivals and consumed governments in search of economic growth.

But where to focus?

In a report published via Columbia World Projects at Columbia University and the Hertie School’s Centre for Digital Governance on Oct 23, my co-authors and I lay out practical first steps in what can often seem like a labyrinthine web of problems associated with social media.

Our starting point is simple: the world currently has limited understanding about what happens within these global platforms despite companies’ stated commitments, through their terms of service, to uphold basic standards around accountability and transparency.

It’s impossible to diagnose the problem without first identifying the symptoms. And in the world of platform governance, that requires improved access to publicly-available and private social media data — in the form of engagement statistics and details on how so-called content recommender systems function.

Thankfully, the EU and, soon, the United Kingdom have passed the world’s first regulated regimes that mandate social media giants provide such information to outsiders, as long as they meet certain requirements like being associated with an academic institution or civil society organizations.

Elsewhere, particularly in the US, researchers are often reliant on voluntary commitments from companies growing increasingly adversarial in their interactions with outsiders whose work may shine unwanted attention on problematic areas within these global platforms.

Our report outlines the current gaps in how social media data access works. It builds on a year of workshops during which more than 120 experts from regulatory agencies, academia, civil society groups and data infrastructure providers identified the existing data access limitations and outlined recommendations for public-private funding to address those failings.

All told, it represents a comprehensive review of current global researcher data access efforts, based on inputs from those actively engaged in the policy area worldwide.

At a time when the US government has pulled back significantly from funding digital policymaking and many philanthropies are shifting gears from social media to artificial intelligence, it can feel like a hard sell to urge both public and private funders to open up their wallets to support a digital policymaking area fraught with political uncertainty.

But our recommendations are framed as practical attempts to fill current shortfalls that, with just a little support, could have an exponential impact on improving the transparency and accountability pledges that all of the world’s largest social media companies say they remain committed to.

Some of the ideas will require more of a collective effort than others.

Participants in the workshops highlighted the need for widely-accessible data access infrastructure — akin to what was offered via Meta’s CrowdTangle data analytics tool before the tech giant shut it down in 2024 — as a starting point, even though such projects, collectively, will likely cost in the tens of millions of dollars each year.

But many of the opportunities are more short-term than long-term.

That was by design. The workshops underpinning the report made clear the independent research community needed technical and capacity-building support more than it needed moonshot projects which may fail to deliver on the dual focus on increased transparency and accountability for social media.

The recommendations include expanded funding support to ensure academics and civil society groups are trained in world-class data protection and security protocols — preferably standardized across the whole research community — so that data about people’s social media habits are kept safe and not misused like what happened in the Cambridge Analytica scandal in 2018.

It also includes programs to allow new researchers to gain access to social media data access regimes that often remain accessible to only a handful of organizations, as well as attempts to create international standards across different countries’ regulated regimes so that jurisdictions can align, as much as they can, on approach to social media data access.

Such day-to-day digital policymaking does not have the bells and whistles associated with the current AI hype. It's borne out of the realities of independent researchers and regulators seeking to address near-and-present harms tied to social media, and not in the alarmism that artificial intelligence may, some day, represent an existential threat to humanity.

That, too, was by design. Often, digital policymaking, especially on AI, can become overly-complex — lost in technical jargon and misconceptions of what technology can, and can not, do.

By outlining where public and private funders can meet immediate needs on society-wide problems tied to social media, my co-authors and I are clear where digital policymaking priorities should lie: in the need to improve people’s understanding of how these global platforms increasingly shape the world around us.

digitalpolitics.co/newsletter0…

We often take for granted how easy it is to get information in today’s modern, Internet-connected world. Especially around electronics projects, datasheets are generally a few clicks away, as are instructions for building almost anything. Not so in the late 80s where ordering physical catalogs of chips and their datasheets was generally required.

Mastering this landscape took a different skillset and far more determination than today, which is what makes the fact that a Japanese electronics hobbyist built a complete homebrew video game system from scratch in 1987 all the more impressive.[Alex] recently discovered this project and produced a replica of it with a few modern touches.

The original console, called the Z80 TV Game, was built on an 8-bit Z80 processor. The rest of the circuitry is fairly intuitive as it uses various integrated circuits that have straightforward wiring. It supports cartridges with up to 32 KB of ROM, outputs a 168×210 black and white image as well as 1-bit audio.

There are around 26 games for this platform developed mostly by the original creator of the console and another developer named [Inufuto] who also developed a multi-platform compiler for the system. [Alex]’s version adds PCBs to the overall design making assembly much easier. He’s also added a cartridge port for the various games and included controller ports for Genesis or Master System controllers.

Even outside the context of the 80s the console is an impressive build, encouraging development of homebrew games that continues to this day. The original creator maintains a site about the console as well (Google Translate from Japanese). There are a number of development tools still available for this platform that allow modern gamers and enthusiasts to interact with it, and all of [Alex]’s schematics and other information are available on his website as well.

For a more modern take on a homebrew system, take a look at this one based on a PIC32 that can not only run homebrew games, but original Game Boy ROMs as well.

hackaday.com/2025/10/29/recrea…

Dopo quasi un anno di trattative con il suo storico sostenitore Microsoft, OpenAI ha concesso a quest’ultima una quota del 27%. Questa mossa elimina una significativa incertezza per entrambe le aziende e apre la strada alla trasformazione dello sviluppatore di ChatGPT in un’impresa a scopo di lucro.

In una dichiarazione rilasciata martedì, entrambe le società hanno affermato che, in base all’accordo rivisto, Microsoft acquisirà circa 135 miliardi di dollari di azioni di OpenAI. Inoltre, Microsoft avrà accesso alla tecnologia della startup di intelligenza artificiale (IA) fino al 2032, compresi i modelli che hanno già raggiunto il benchmark per l’intelligenza artificiale generale (AGI).

OpenAI ha trascorso gran parte di quest’anno spingendo per la ristrutturazione, trasformandosi in un’azienda più tradizionale a scopo di lucro; Microsoft, che ha investito circa 13,75 miliardi di dollari, è stata il più grande ostacolo tra gli investitori di OpenAI.

“OpenAI ha completato una ristrutturazione del capitale e semplificato la sua struttura aziendale”, ha dichiarato il presidente di OpenAI, Bret Taylor, in una nota. “L’organizzazione no-profit controlla ancora l’entità a scopo di lucro, garantendole accesso diretto alle risorse critiche prima dell’arrivo di AGI”.

Nell’ambito della ristrutturazione, l’ente no-profit di OpenAI, la OpenAI Foundation, riceverà anche un capitale di circa 130 miliardi di dollari. La fondazione prevede di concentrarsi inizialmente sul finanziamento di progetti come “l’accelerazione delle innovazioni in campo sanitario”.

OpenAI ha dichiarato che il suo co-fondatore e CEO, Sam Altman, non riceverà alcuna partecipazione azionaria nella società recentemente ristrutturata.

Martedì, le azioni Microsoft sono salite fino al 4,2%, raggiungendo i 553,72 dollari. Molti analisti di Wall Street ritengono che il cambiamento del rapporto con OpenAI abbia rappresentato in passato una fonte importante di incertezza per l’azienda produttrice di software.

L’analista di ricerca di settore Anurag Rana ha affermato che il mantenimento da parte di Microsoft dei diritti di proprietà intellettuale sui prodotti e sui modelli OpenAI fino al 2032 è “il punto più importante” dell’accordo rivisto. “Microsoft sta sviluppando i propri modelli, utilizzando al contempo i modelli OpenAI o Anthropic nel suo prodotto Copilot”.

Un punto cruciale nei negoziati durati mesi tra Microsoft e OpenAI è stato cosa sarebbe successo dopo che OpenAI avesse raggiunto l’AGI (Intelligenza Artificiale Generale), ovvero un’intelligenza artificiale che supera le capacità umane nella maggior parte dei compiti. In base al nuovo accordo, questa soglia deve essere verificata da un “gruppo indipendente di esperti” e, una volta raggiunta, Microsoft non riceverà più alcuna quota dei ricavi di OpenAI.

Azure è stato a lungo il fornitore esclusivo di OpenAI, ma in seguito Microsoft gli ha consentito di acquistare servizi da altri fornitori come Oracle, pur mantenendo il diritto di prelazione di Microsoft . OpenAI investirà altri 250 miliardi di dollari in Azure.

Entrambe le parti hanno dichiarato che i diritti di Microsoft sull’utilizzo della tecnologia OpenAI non includeranno l’hardware consumer. OpenAI avrà anche la possibilità di “sviluppare congiuntamente alcuni prodotti con terze parti”.

L'articolo Microsoft acquisisce il 27% di OpenAI per 135 miliardi di dollari proviene da Red Hot Cyber.

What has the EDRi network been up to over the past few weeks? Find out the latest digital rights news in our bi-weekly newsletter. In this edition: we're pondering digital fairness, budget cuts for the Austrian DPA and more.

The post EDRi-gram, 29 October 2025 appeared first on European Digital Rights (EDRi).