米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、Windows Internet Key Exchange（IKE）Service Extensionsコンポーネントに存在する、リモートコード実行を可能にする深刻な脆弱性が実際に悪用されていると警告しました。この脆弱性の番号はCVE-2026-33824で、Windows 10、Windows 11、Windows Serverのサポート対象となるすべてのバージョンに影響します。
この脆弱性を悪用すると、権限のない攻撃者が、IKEプロトコルのバージョン2が動作する端末に悪意のあるネットワークパケットを送信し、更新されていないシステム上でコードを実行できます。アカウントや事前の権限は必要ありません。IKE通信で通常使用されるUDPポート500または4500を介して悪用できます。
この不具合の性質
Microsoftは、この脆弱性の原因をWindows IKE拡張機能におけるDouble Freeエラーとしています。2026年4月の月例セキュリティ更新に伴って公開された同社のガイダンスによると、認証されていない攻撃者は、IKEバージョン2を使用する端末に細工したパケットを送信し、リモートコード実行を引き起こす可能性があります。
MS-IKEEは、MicrosoftがIKEプロトコルに追加した一連の拡張機能です。暗号学的に生成されたアドレスを使用した認証、サービス拒否攻撃への防御、Internet Protocol Security（IPsec）プロトコルをサポートしていない相手との相互運用性の向上などが含まれます。
CISAの措置と期限
CISAはこの脆弱性を実際に悪用されている脆弱性のカタログに追加し、拘束力のある運用指令BOD 26-04に基づき、米国連邦政府の文民行政機関に対して3日以内に端末を保護するよう命じました。同機関は、この種の脆弱性は攻撃で繰り返し利用される経路であり、連邦環境に重大なリスクをもたらす可能性があると述べました。
この拘束力のある指令は米国政府以外の組織には直接適用されませんが、CISAはすべてのネットワーク防御担当者に対し、進行中の攻撃を防ぐためCVE-2026-33824の更新を優先するよう呼びかけました。Microsoftは現時点で、実際の悪用を示すようガイダンスを更新していません。また、BleepingComputerから問い合わせを受けた際も、攻撃に関する追加情報を提供しませんでした。
セキュリティチームにとって実務上何が変わるのか
最優先事項は、脆弱性を修正したセキュリティ更新プログラムをインストールすることです。直ちに対応できない場合、MicrosoftはIKEを使用していないシステムでUDP 500およびUDP 4500経由の受信トラフィックを遮断するよう推奨しています。IKEに依存するシステムでは、既知のピアのアドレスからの通信だけを許可するファイアウォールルールによって、受信接続を制限できます。
今回の警告は、実環境で悪用されているMicrosoftの脆弱性に関するCISAの一連の注意喚起の一環です。2021年11月以降、同機関はMicrosoft製品で悪用された脆弱性を385件カタログに登録しており、そのうち112件はランサムウェアグループにも利用されました。また最近、Windows Task Hostの脆弱性がランサムウェア攻撃で悪用されたことを確認し、7月初旬に悪用の兆候が現れ始めた攻撃で、Microsoft SharePointのリモートコード実行脆弱性が使用されていると警告しました。