Агентство з кібербезпеки та безпеки інфраструктури США (CISA) попередило, що хакери використовують критичну вразливість віддаленого виконання коду (RCE) у компоненті розширень служби обміну ключами Інтернету (IKE) Windows.
Цей компонент, також відомий як MS-IKEE, є набором додаткових можливостей, які Microsoft додала до протоколу IKE. Він включає автентифікацію за допомогою криптографічно згенерованих адрес (CGA), захист від відмови в обслуговуванні та полегшену взаємодію з пристроями, що не підтримують Internet Protocol Security (IPsec).
Вразливість, відстежувана як CVE-2026-33824, впливає на всі підтримувані версії Windows 10, Windows 11 та Windows Server. Вона дозволяє зловмисникам, які не мають привілеїв, отримати виконання коду, надсилаючи спеціально створені пакети на незапатчені системи Windows через UDP-порти 500 або 4500.
«Подвійне звільнення пам’яті в розширенні Windows IKE дозволяє неавторизованому зловмиснику виконувати код через мережу», — зазначає Microsoft у консультативному повідомленні, опублікованому під час terçaшки оновлень за квітень 2026 року, коли було усунуто вразливість.
«Неавтентифікований зловмисник може надсилати спеціально сформовані пакети на комп’ютер з Windows із увімкненим Internet Key Exchange (IKE) версії 2, що може призвести до віддаленого виконання коду».
Microsoft також порадила командам безпеки, які не можуть негайно встановити оновлення безпеки для CVE-2026-33824, заблокувати вхідний трафік через UDP-порти 500 та 4500 на системах, що не використовують IKE, або налаштувати правила брандмауера для дозволу вхідного трафіку лише з відомих адрес однорангових вузлів під час використання IKE.
Зараз активно використовується
Хоча Microsoft ще не оновила своє консультативне повідомлення, щоб позначити цю вразливість як таку, що експлуатується, CISA додала її до свого каталогу активно експлуатованих вразливостей. Агентство зобов’язало федеральні цивільні виконавчі установи США (FCEB) захистити свої пристрої протягом трьох днів, як це передбачено Оперативним наказом 26-04.
«Цей тип вразливості є частим вектором атаки для зловмисних кіберзлочинців і становить значний ризик для федерального підприємства», — попередило агентство у вівторок.
Крім того, хоча Оперативний наказ 26-04 застосовується лише до урядових установ, CISA закликала всіх захисників мереж надавати пріоритет встановленню виправлень для вразливості безпеки CVE-2026-33824, щоб зупинити поточні атаки.
Microsoft ще не відповіла на запит щодо додаткової інформації про атаки, які активно націлені на вразливість CVE-2026-33824, але речник CISA заявив, що агентство з кібербезпеки не має чого більше повідомити.
У п’ятницю CISA також підтвердила, що вразливість Windows Task Host високого рівня критичності, позначена як активно експлуатована у квітні, тепер також використовується в атаках з використанням програм-вимагачів. Минулого тижня агентство також попереджало, що операції з програмами-вимагачами почали використовувати вразливість RCE Microsoft SharePoint в атаках після підтвердження експлуатації в реальних умовах на початку липня.
З листопада 2021 року CISA позначила 385 активно експлуатованих вразливостей у різних продуктах Microsoft, 112 з яких також використовувалися бандами програм-вимагачів.
Після отримання зловмисниками дійсних облікових даних блокується лише 37% їхніх дій
Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Коли зловмисники використовують дійсні облікові дані, рівень запобігання різко падає.
Звіт The Blue Report 2026 вимірює ефективність заходів захисту техніку за технікою на основі 338 мільйонів симуляцій, проведених у виробничих середовищах клієнтів.
Інформація підготовлена на основі матеріалів: www.bleepingcomputer.com