Windows IKE Extension отдаёт root без аутентификации — её эксплуатируют

Атакующие эксплуатируют уязвимость в службе Windows IKE Extension

Агентство по кибербезопасности и защите инфраструктуры США (CISA) предупредило об эксплуатации критической уязвимости удалённого выполнения кода (RCE) в компоненте Windows Internet Key Exchange (IKE) Service Extensions. Уязвимость получила идентификатор CVE-2026-33824. Атакующие используют её для получения контроля над системами без необходимости аутентификации.

Компонент IKE Extension добавляет возможности протоколу IKE

IKE Extension, также известный как MS-IKEE, представляет собой набор дополнительных возможностей, добавленных Microsoft к протоколу IKE. Эти функции включают аутентификацию с использованием криптографически сгенерированных адресов (CGA), защиту от отказа в обслуживании (DoS) и упрощённую совместимость с устройствами, не поддерживающими протокол IPsec. Компонент позволяет злоумышленникам выполнять произвольный код, отправляя специально сформированные пакеты на уязвимые системы.

Уязвимость затрагивает все поддерживаемые версии Windows

Уязвимость CVE-2026-33824 затрагивает все поддерживаемые версии Windows 10, Windows 11 и Windows Server. Атакующие могут получить выполнение кода, отправляя вредоносные пакеты на системы через UDP-порты 500 или 4500. Microsoft выпустила исправление для этой уязвимости в рамках апрельского обновления безопасности 2026 года. Компания рекомендует организациям, которые не могут немедленно установить обновление, блокировать входящий трафик через UDP-порты 500 и 4500 на системах, не использующих IKE. Также можно настроить правила брандмауэра для разрешения входящего трафика только от известных IP-адресов.

Приоритезируйте установку обновлений безопасности

CISA добавила CVE-2026-33824 в каталог активно эксплуатируемых уязвимостей. Агентство обязало федеральные гражданские исполнительные органы власти США устранить уязвимость в течение трёх дней. CISA призвала всех сетевых администраторов в приоритетном порядке установить исправление для CVE-2026-33824, чтобы предотвратить текущие атаки. С ноября 2021 года CISA отметила 385 активно эксплуатируемых уязвимостей в продуктах Microsoft, 112 из которых также использовались программами-вымогателями.

Источники: BleepingComputer · The Hacker News