侵害されたWindows Server Update Services(WSUS)環境が悪用されると、組織が信頼するパッチ管理インフラを通じて攻撃者制御下のソフトウェアが配布される恐れがあります。
この研究では、NTLMコアーション(強制認証)、リレー攻撃、そして保護の甘い外部WSUSデータベース構成を組み合わせた危険な攻撃経路が明らかにされています。
SpecterOpsの研究者Beyviel David氏が公開した論文「Turning Enterprise Update Servers Into Backdoor Factories (0_o) – Part 1」は、WSUSアプリケーションサーバーとそのSUSDBデータベースが別々のシステムでホストされているシナリオを検証しています。
この条件下では、攻撃者がWSUSサーバーのマシンアカウントを騙して攻撃者制御下のリレーポイントに認証させ、その認証情報をSUSDBをホストするMicrosoft SQL Serverにリレーできる可能性があります。
WSUSのコンピューターアカウントがSQLセッションを確立できれば、その結果得られるアクセス権は、WSUSのwebServiceデータベースロールに割り当てられたストアドプロシージャを操作するのに十分な場合があります。
このロールにはデータベースのテーブルを直接読み取り、変更、削除する権限はないものの、特定のプロシージャを実行できる能力があるため、メタデータや配信ワークフローを操作する別の経路が生まれます。
WSUSは、Microsoftの更新プログラムをWindowsエンドポイントに一元的に承認・管理・配布するために広く利用されています。クライアントは通常、グループポリシーまたはレジストリ設定を通じて内部更新サーバーのアドレスを取得するため、WSUSはエンタープライズインフラの中でも極めて高い信頼を置かれるコンポーネントとなっています。
この研究では、ストアドプロシージャを連鎖させることで、カスタム更新プログラムの作成、インストールメタデータの関連付け、ペイロードのダウンロード場所の指定、対象となるWSUSコンピューターグループへのエンドポイントの追加、そして選択したシステムへの更新プログラムの展開が可能になることが示されています。
つまり、影響範囲は必ずしもドメイン全体に及ぶ必要はなく、理論上は特定のサーバー、ワークステーショングループ、その他定義された特定のクライアント群を標的にすることも可能です。
こうした攻撃はセキュリティの構図を一変させます。ユーザーを騙して悪意ある添付ファイルを開かせたり、各エンドポイントを個別に攻略したりする代わりに、攻撃者は組織自身のソフトウェア配布チャネルを悪用できてしまうのです。
また、悪意ある更新プログラムが正規のパッチと並んで管理ツール内に表示される可能性もあり、検知やインシデント対応を一層難しくします。
研究の第2部でSpecterOpsは、ファイル拡張子の扱いを操作することでWSUSの署名チェックを回避し、特定の条件下でBackground Intelligent Transfer Service(BITS)経由で未署名のペイロードを配信できる手法について説明しています。
Beyviel David氏の報告によると、拡張子が.txtまたは.esdで終わるファイルは、通常の実行ファイル署名検証ロジックを回避できるとのことです。この発見は、WSUSが最近開示されたばかりのセキュリティ問題にも直面しているだけに、特にタイムリーなものと言えます。
Microsoftの2026年7月のアドバイザリには、重要な機能における認証の欠如とされる権限昇格の問題であるCVE-2026-50444と、リモートから到達可能な改ざん/サービス拒否脆弱性であるCVE-2026-50328が含まれています。
これらのCVEは、今回実証されたデータベースリレーの攻撃連鎖とは別物ですが、両者を合わせて考えると、WSUSを日常的なインフラとしてではなく、価値の高い管理サービスとして扱う必要性が改めて浮き彫りになります。
組織は、WSUSが別のSQL Serverを使用しているかどうかを確認し、WSUSコンピューターアカウントに付与されている権限を評価する必要があります。
管理者は、データベースサーバー上でExtended Protection for Authentication(EPA)を強制し、データベースへの接続をWSUSホストおよび許可された管理システムに制限し、不要なNTLM露出を減らすべきです。
最後に、企業はMicrosoftのWSUSセキュリティ更新プログラムを速やかに適用し、既定のWSUSポートである8530番と8531番へのアクセスを制限し、運用上不要になったWSUSインスタンスは廃止するべきです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/wsus-flaw-enterprise-update-servers-malware-delivery-systems/
