A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) alertou sobre a exploração ativa de uma vulnerabilidade crítica que permite a execução remota de código no componente Windows Internet Key Exchange (IKE) Service Extensions. A vulnerabilidade recebeu o identificador CVE-2026-33824 e afeta todas as versões compatíveis do Windows 10, Windows 11 e Windows Server.
A vulnerabilidade permite que um invasor não autorizado execute código em um sistema desatualizado ao enviar pacotes de rede maliciosos para um dispositivo que utiliza a segunda versão do protocolo IKE. A operação não exige a posse de uma conta ou privilégios prévios, pois pode ser explorada pelas portas UDP 500 ou 4500, normalmente usadas nas comunicações IKE.
Qual é a natureza da falha?
A Microsoft atribui a vulnerabilidade a um erro de Double Free na extensão do Windows IKE. De acordo com a orientação da empresa publicada nas atualizações da terça-feira de segurança de abril de 2026, um invasor não autenticado pode enviar pacotes especialmente criados para um dispositivo que utiliza a versão dois do IKE, o que pode levar à execução remota de código.
O MS-IKEE representa um conjunto de recursos adicionais que a Microsoft acrescentou ao protocolo IKE, incluindo autenticação usando endereços gerados criptograficamente, proteção contra ataques de negação de serviço e melhoria da interoperabilidade com partes que não oferecem suporte ao protocolo Internet Protocol Security (IPsec).
A medida da CISA e o prazo definido
A CISA adicionou a vulnerabilidade ao seu catálogo de vulnerabilidades exploradas ativamente e ordenou que as agências do Poder Executivo Civil federal dos Estados Unidos protegessem seus dispositivos em três dias, com base na Diretiva Operacional Vinculante BOD 26-04. A agência afirmou que esse tipo de vulnerabilidade representa um vetor recorrente de ataques e pode apresentar riscos significativos para o ambiente federal.
A diretiva vinculante não se aplica diretamente a organizações fora do governo dos Estados Unidos, mas a CISA instou todos os responsáveis pela defesa das redes a priorizar a atualização referente à CVE-2026-33824 para impedir os ataques em andamento. A Microsoft ainda não atualizou sua orientação para indicar a exploração ativa e também não forneceu detalhes adicionais sobre os ataques quando solicitada pelo BleepingComputer.
O que muda na prática para as equipes de segurança?
A prioridade é instalar a atualização de segurança que corrigiu a vulnerabilidade. Se isso não for possível imediatamente, a Microsoft recomenda bloquear o tráfego de entrada pelas portas UDP 500 e UDP 4500 nos sistemas que não utilizam IKE. Nos sistemas que dependem dele, as conexões de entrada podem ser restringidas por meio de regras de firewall que as permitam apenas a partir de endereços de pares conhecidos.
O alerta faz parte de uma série de avisos da CISA sobre vulnerabilidades da Microsoft exploradas na prática. Desde novembro de 2021, a agência incluiu 385 vulnerabilidades exploradas em produtos da Microsoft, das quais 112 também foram usadas por grupos de ransomware. Recentemente, a agência confirmou a exploração de uma vulnerabilidade no Windows Task Host em ataques de ransomware e alertou sobre o uso de uma vulnerabilidade de execução remota de código no Microsoft SharePoint durante ataques cujos primeiros indícios de exploração começaram a surgir no início de julho.