Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) добави критична уязвимост в Microsoft Internet Key Exchange, проследявана като CVE-2026-33824, към своя каталог с известни експлоатирани уязвимости (KEV), след като потвърди нейното използване при атаки.
Слабостта засяга разширенията на услугата Microsoft Internet Key Exchange (IKE) и може да позволи отдалечено изпълнение на код върху уязвимите системи.
CISA добави уязвимостта на 18 август 2026 г. и определи краен срок за отстраняване на уязвимостта до 21 август 2026 г. за организациите, обхванати от Обвързващата оперативна директива BOD 26-04.
Краткият прозорец за инсталиране на корекции за сигурност подчертава спешността на въпроса и вероятността атакуващите активно да търсят изложени или некоригирани услуги на Microsoft IKE.
Експлоатирана уязвимост в Microsoft IKE
CVE-2026-33824 се описва като уязвимост от тип „двойно освобождаване“ (double-free) в разширенията на услугата Microsoft Internet Key Exchange. Състояние на двойно освобождаване възниква, когато софтуерът освобождава една и съща област от паметта повече от веднъж.
Атакуващите могат потенциално да манипулират получената повреда на паметта, за да предизвикат срив на услуга, изтичане на информация или изпълнение на контролиран от атакуващия зловреден код.
Уязвимостта е свързана с CWE-415 – категория слабости, покриваща дефекти с двойно освобождаване. Ако експлоатацията може да бъде извършена отдалечено и без автентификация, проблемът може да бъде особено опасен за системи, които излагат свързани с IKE услуги в интернет.
IKE е основен протоколен компонент, обикновено използван в среди с IP сигурност (IPsec). Той договаря защитени връзки и криптографски ключове за VPN връзки.
Успешното компрометиране на крайна точка с активиран IKE може да даде на киберпрестъпниците опорна точка в периферно устройство или Windows система, поддържаща свързаност с VPN.
В момента CISA посочва използването на CVE-2026-33824 за разпространение на зловреден софтуер от тип рансъмуер като неизвестно, а Microsoft все още не е свързал публично уязвимостта с конкретна рансъмуер операция.
Въпреки това, грешките за отдалечено изпълнение на код във външно достъпни мрежови услуги често са ценни за брокерите на първоначален достъп, шпионските групи и съучастниците в рансъмуер атаки, тъй като позволяват проникване без да се разчита на фишинг или откраднати идентификационни данни.
CISA съветва организациите да прилагат предложените от разработчика мерки за смекчаване на риска в съответствие с инструкциите на Microsoft и да следват BOD 26-04, която дава приоритет на актуализациите за сигурност според риска.
Агенциите и засегнатите организации трябва да идентифицират активите, работещи с разширенията на услугата Microsoft IKE, да определят дали са изложени на ненадеждни мрежи и да инсталират съответното обновяване за сигурност възможно най-бързо.
Екипите по сигурността не трябва да ограничават усилията си за реагиране само до внедряването на корекции за сигурност. Те също така трябва да преглеждат периферните регистрационни файлове (логове), VPN и IPsec телеметрията, регистрационните файлове за събития в Windows, сигналите от крайните точки и мрежовия трафик за признаци на подозрителна дейност, включваща IKE услуги.
Неочаквани сривове на услуги, повтарящи се опити за некоректно форматирани връзки, необичайни процеси, стартирани от системни услуги, и изходящ трафик от VPN инфраструктурата изискват разследване.
Организациите, които не могат да отстранят уязвимостта незабавно, трябва да намалят излагането на риск, където е възможно. Това може да включва ограничаване на IKE трафика до доверени мрежи, ограничаване на UDP портове 500 и 4500 на периферните защитни стени, където е оперативно осъществимо, и изолиране на засегнатите хостове от обществения интернет.
Всяко временно решение трябва да се третира като краткосрочен контрол, а не като заместител на прилагането на корекцията от Microsoft. CISA също така инструктира заинтересованите страни да следват приложимите изисквания за криминалистичен анализ и да оценят интернет експозицията на всеки актив.
Организациите, които не са в състояние да внедрят ефективни мерки за намаляване на риска, трябва да обмислят преустановяване на използването на уязвимия продукт или услуга, докато не бъде налична сигурна конфигурация.