米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、Windows Internet Key Exchange(IKE)Service Extensionsコンポーネントに存在する深刻度「Critical」のリモートコード実行(RCE)脆弱性が、攻撃者に悪用されていると警告しました。
MS-IKEEとしても知られるこの機能は、Microsoftが IKEプロトコルに追加した拡張機能群であり、暗号生成アドレス(CGA)による認証やサービス拒否(DoS)攻撃対策、IPsec非対応ピアとの相互運用性向上などを実現します。
CVE-2026-33824として追跡されているこのRCE脆弱性は、サポート対象のすべてのWindows 10、Windows 11、Windows Serverに影響を及ぼします。権限を持たない攻撃者であっても、未パッチのWindowsシステムに対してUDPポート500または4500経由で細工したパケットを送信することで、コード実行が可能になります。
Microsoftは2026年4月のPatch Tuesdayでこの脆弱性に対処した際の勧告の中で、「Windows IKE拡張機能におけるダブルフリー(二重解放)により、権限を持たない攻撃者がネットワーク経由でコードを実行できる」と説明しています。
「未認証の攻撃者が、Internet Key Exchange(IKE)version 2を有効にしたWindowsマシンに対して特別に細工したパケットを送信することで、リモートコード実行が可能になる恐れがあります」としています。
また、Microsoftは、CVE-2026-33824のセキュリティ更新プログラムを直ちに適用できないセキュリティチームに対して、IKEを使用していないシステムではUDPポート500および4500経由の受信トラフィックをブロックすること、あるいはIKEを使用している場合は既知のピアアドレスからの受信トラフィックのみを許可するようファイアウォールルールを設定することを推奨しています。
実際に悪用が始まっている
Microsoftは勧告の中でこの脆弱性が悪用されているとまだ明記していませんが、CISAは実際に悪用されている脆弱性のカタログにこの脆弱性を追加し、Binding Operational Directive 26-04に基づき、米連邦文民行政機関(FCEB)に対して3日以内に対象デバイスの保護を義務付けました。
米サイバーセキュリティ当局は火曜日、「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁に利用される攻撃経路であり、連邦政府機関全体に重大なリスクをもたらします」とも警告しています。
さらに、BOD 26-04は政府機関のみに適用されるものですが、CISAはすべてのネットワーク管理者に対して、進行中の攻撃を食い止めるためCVE-2026-33824のパッチ適用を最優先で行うよう呼びかけています。
金曜日には、CISAは4月に実際に悪用されていると指摘したWindows Task Hostの深刻度「高」の脆弱性が、現在はランサムウェア攻撃にも悪用されていることを確認したことも明らかにしています。また先週には、7月上旬に実際の悪用を確認していたMicrosoft SharePointのRCE脆弱性について、ランサムウェア攻撃グループが攻撃への利用を開始したと警告していました。
2021年11月以降、CISAはさまざまなMicrosoft製品において385件の実際に悪用された脆弱性にタグを付けており、そのうち112件はランサムウェアグループにも悪用されています。
BleepingComputerがCVE-2026-33824の脆弱性を標的とした攻撃について詳細情報を求めて問い合わせたところ、CISAとMicrosoftの広報担当者からはまだ回答が得られていません。
攻撃者が正規の認証情報を入手すると、その行動のうちわずか37%しかブロックできない
全体の防御スコアだけでは、初期侵入後に何が起きているかが見えなくなってしまいます。攻撃者が正規の認証情報を使い始めると、防御の成功率は急激に低下します。
The Blue Report 2026は、顧客の本番環境で実施された3億3,800万件のシミュレーションをもとに、手口ごとに防御力を測定したレポートです。
