L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a alerté sur l’exploitation active d’une vulnérabilité critique permettant l’exécution de code à distance dans le composant Windows Internet Key Exchange (IKE) Service Extensions. La vulnérabilité porte le numéro CVE-2026-33824 et affecte toutes les versions prises en charge de Windows 10, Windows 11 et Windows Server.
La vulnérabilité permet à un attaquant non autorisé d’exécuter du code sur un système non mis à jour en envoyant des paquets réseau malveillants à un appareil sur lequel fonctionne la deuxième version du protocole IKE. L’opération ne nécessite ni compte ni privilèges préalables, car elle peut être exploitée via les ports UDP 500 ou 4500, qui sont habituellement utilisés pour les communications IKE.
Quelle est la nature de la faille ?
Microsoft attribue la vulnérabilité à une erreur de Double Free dans l’extension Windows IKE. Selon les recommandations de l’entreprise publiées dans le cadre des mises à jour du mardi de sécurité d’avril 2026, un attaquant non authentifié peut envoyer des paquets spécialement conçus à un appareil utilisant la deuxième version d’IKE, ce qui pourrait entraîner l’exécution de code à distance.
MS-IKEE désigne un ensemble de fonctionnalités supplémentaires que Microsoft a ajoutées au protocole IKE, notamment l’authentification au moyen d’adresses générées cryptographiquement, la protection contre les attaques par déni de service et l’amélioration de l’interopérabilité avec les parties qui ne prennent pas en charge le protocole Internet Protocol Security (IPsec).
Mesure de la CISA et délai fixé
La CISA a ajouté la vulnérabilité à son catalogue des vulnérabilités exploitées dans la nature et a ordonné aux agences de la branche exécutive civile du gouvernement fédéral américain de sécuriser leurs appareils dans un délai de trois jours, conformément à la directive opérationnelle contraignante BOD 26-04. L’agence a déclaré que ce type de vulnérabilité constitue un vecteur d’attaque récurrent et peut présenter des risques importants pour l’environnement fédéral.
La directive contraignante ne s’applique pas directement aux organisations extérieures au gouvernement américain, mais la CISA a appelé tous les responsables de la défense des réseaux à donner la priorité à la mise à jour corrigeant CVE-2026-33824 afin de prévenir les attaques en cours. Microsoft n’a pas encore mis à jour ses recommandations pour signaler l’exploitation active et n’a pas fourni de détails supplémentaires sur les attaques lorsqu’elle a été sollicitée par BleepingComputer.
Qu’est-ce qui change concrètement pour les équipes de sécurité ?
La priorité est d’installer la mise à jour de sécurité qui corrige la vulnérabilité. Si cela est immédiatement impossible, Microsoft recommande de bloquer le trafic entrant via les ports UDP 500 et UDP 4500 sur les systèmes qui n’utilisent pas IKE. Pour les systèmes qui en dépendent, les connexions entrantes peuvent être limitées au moyen de règles de pare-feu ne les autorisant qu’à partir des adresses des pairs connus.
L’alerte s’inscrit dans une série de mises en garde de la CISA concernant des vulnérabilités Microsoft exploitées dans la nature. Depuis novembre 2021, l’agence a inscrit 385 vulnérabilités exploitées dans des produits Microsoft, dont 112 ont également été utilisées par des groupes de rançongiciels. Elle a récemment confirmé l’exploitation d’une vulnérabilité de Windows Task Host dans le cadre d’attaques par rançongiciel et a averti de l’utilisation d’une vulnérabilité d’exécution de code à distance dans Microsoft SharePoint lors d’attaques dont les premiers signes d’exploitation ont commencé à apparaître au début du mois de juillet.