Windows Server: Patch für WSUS-Sicherheitslücke deaktiviert Hotpatch

Ein Sicherheitsupdate sorgt derzeit für Ärger: Microsofts außerplanmäßiger Patch für eine kritische Sicherheitslücke im Windows Server Update Service (WSUS) hat unbeabsichtigt das sogenannte Hotpatching außer Kraft gesetzt.

Notfall-Patch sorgt für neue Probleme

Die Lücke mit der Bezeichnung CVE-2025-59287 erlaubt Angreifern die Ausführung von Schadcode aus der Ferne - und das ohne Benutzerinteraktion. Die Aktualisierung KB5070881 wurde daraufhin recht eilig veröffentlicht, nachdem mehrere Sicherheitsfirmen eine aktiv ausgenutzte Schwachstelle gemeldet hatten.

Wenig später stellte sich heraus, dass der eilig veröffentlichte Patch selbst neue Probleme verursacht. In einer aktualisierten Support-Notiz schreibt Microsoft, dass ein Teil der Windows-Server-2025-Systeme nach der Installation von KB5070881 den Hotpatch-Status verloren habe.

Hotpatching vorübergehend deaktiviert

Wie erhalten Hotpatch-Computer die in diesem Update enthaltene Korrektur?

Hotpatch-registrierten Computern, auf denen dieses Update noch nicht installiert ist, wird zusätzlich zum geplanten Basis-Update für Oktober 2025 (KB5066835) das Sicherheitsupdate für Windows Server Update Services vom 24. Oktober 2025 (KB5070893) angeboten. Computer, auf denen KB5070893 installiert ist, bleiben weiterhin im Hotpatch-Programm und erhalten auch im November und Dezember Hotpatch-Updates. Nur Computer, auf denen WSUS aktiviert ist, werden nach der Installation des Sicherheitsupdates KB5070893 zum Neustart aufgefordert.

Betroffen sind ausschließlich Geräte und virtuelle Maschinen, die für die Hotpatch-Funktion registriert waren. Das Update wird mittlerweile nicht mehr an Hotpatch-enrolled Systeme verteilt. Rechner, die es bereits installiert haben, erhalten im November und Dezember keine weiteren Hotpatches. Stattdessen werden sie auf die regulären monatlichen Sicherheitsupdates umgestellt, inklusive Neustartpflicht.

Erst mit dem Baseline-Update im Januar 2026 sollen betroffene Server wieder in den normalen Hotpatch-Rhythmus zurückkehren.

Korrigiertes Update verfügbar

Für Administratoren, die das fehlerhafte Update noch nicht ausgerollt haben, gibt es eine Alternative: Die Sicherheitsaktualisierung KB5070893, veröffentlicht einen Tag nach dem ursprünglichen Patch, behebt dieselbe Schwachstelle, auch ohne das Hotpatching zu stören. Wer diese Version installieren möchte, sollte die Windows-Updates kurz pausieren, anschließend wieder aktivieren und nach neuen Updates suchen.


Siehe auch: