Агентство США по кибербезопасности и защите инфраструктуры (CISA) предупредило об активной эксплуатации критической уязвимости, позволяющей удалённо выполнять код в компоненте Windows Internet Key Exchange (IKE) Service Extensions. Уязвимости присвоен номер CVE-2026-33824, и она затрагивает все поддерживаемые версии Windows 10, Windows 11 и Windows Server.
Уязвимость позволяет неавторизованному злоумышленнику выполнять код в не обновлённой системе, отправляя вредоносные сетевые пакеты на устройство, на котором работает вторая версия протокола IKE. Для атаки не требуется учётная запись или предварительные права доступа: эксплуатация возможна через UDP-порты 500 или 4500 — обычно используемые для соединений IKE порты.
В чём заключается проблема?
Microsoft связывает уязвимость с ошибкой Double Free в расширении Windows IKE. Согласно рекомендациям компании, опубликованным в рамках обновлений вторника безопасности в апреле 2026 года, неаутентифицированный злоумышленник может отправить специально сформированные пакеты на устройство, использующее вторую версию IKE, что потенциально может привести к удалённому выполнению кода.
MS-IKEE представляет собой набор дополнительных возможностей, которые Microsoft добавила в протокол IKE. Они включают аутентификацию с использованием криптографически сгенерированных адресов, защиту от атак типа «отказ в обслуживании» и улучшение совместимости с узлами, не поддерживающими протокол Internet Protocol Security (IPsec).
Меры CISA и установленный срок
CISA добавила уязвимость в свой каталог активно эксплуатируемых уязвимостей и распорядилась, чтобы органы гражданской исполнительной власти федерального правительства США защитили свои устройства в течение трёх дней на основании обязательной эксплуатационной директивы BOD 26-04. Агентство заявило, что уязвимости такого типа являются распространённым вектором атак и могут создавать значительные риски для федеральной среды.
Обязательная директива напрямую не распространяется на организации за пределами правительства США, однако CISA призвала всех специалистов, отвечающих за защиту сетей, уделить обновлению CVE-2026-33824 приоритетное внимание, чтобы предотвратить продолжающиеся атаки. Microsoft пока не обновила свои рекомендации, чтобы указать на активную эксплуатацию, а также не предоставила дополнительные сведения об атаках после соответствующего запроса BleepingComputer.
Что это практически меняет для команд безопасности?
Приоритетной задачей является установка обновления безопасности, устраняющего уязвимость. Если немедленная установка невозможна, Microsoft рекомендует заблокировать входящий трафик через UDP 500 и UDP 4500 на системах, которые не используют IKE. Для систем, которые от него зависят, входящие соединения можно ограничить с помощью правил брандмауэра, разрешающих их только с известных адресов узлов-партнёров.
Предупреждение опубликовано в рамках серии уведомлений CISA об уязвимостях Microsoft, эксплуатируемых в реальных атаках. С ноября 2021 года агентство включило в список 385 уязвимостей в продуктах Microsoft, 112 из которых также использовались группами вымогательского программного обеспечения. Недавно агентство также подтвердило эксплуатацию уязвимости в Windows Task Host в ходе атак с использованием программ-вымогателей и предупредило об использовании уязвимости удалённого выполнения кода в Microsoft SharePoint в атаках, первые признаки эксплуатации которых начали появляться в начале июля.