CISA、Windowsの重大なIKE脆弱性CVE-2026-33824が実際に悪用されていることを確認

ハッカーたちが、アカウントもユーザーの操作も一切必要とせずに標的コンピュータ上でリモートコード実行を可能にする、Windowsの重大な脆弱性の悪用を開始しています。米サイバーセキュリティ・インフラセキュリティ庁(CISA)は実際の攻撃を確認したと発表し、連邦機関に対して該当するパッチの適用を指示しました。

CVE-2026-33824:Windows IKEにおける重大なダブルフリー脆弱性

CVE-2026-33824として追跡されているこの脆弱性は、深刻度10.0(緊急)と評価されており、サポート対象のWindows 10、Windows 11、Windows Serverの各バージョンに影響します。Microsoftはこの脆弱性を2026年4月にすでに修正していました。問題の根本は、Windowsがセキュアなネットワーク接続を確立する際に利用するInternet Key Exchange(IKE)プロトコル拡張機能にあります。

この脆弱性は、メモリのダブルフリー(二重解放)エラーに起因します。悪用に際して認証情報は一切不要であり、標的システムへの事前アクセスも必要ありません。攻撃者はIKEv2が有効になっているコンピュータに対し、特別に細工したネットワークパケットを送りつけるだけで済みます。その結果、攻撃者は対象マシン上でリモートコード実行を達成できてしまいます。

IKEの仕組みと、なぜ危険にさらされているのか

IKEプロトコルのデータは、UDPポート500番と4500番を経由してやり取りされます。MicrosoftによるIKEプロトコルの拡張機能は、サービス拒否(DoS)対策、ネットワークアドレス変換(NAT)環境下での動作サポート、暗号学的に生成されたアドレスを用いた認証、IPsec非対応ノードとの互換性など、幅広い機能を追加するものです。

CISAの既知悪用脆弱性カタログに追加

8月18日、CISAはCVE-2026-33824を、攻撃者によってすでに悪用されている脆弱性のカタログに追加しました。同庁は、攻撃そのものの詳細、標的となった組織の身元、使用された具体的なツールについては、まだ公表していません。本記事執筆時点では、Microsoft自身のアドバイザリも、実際の悪用が確認された旨を反映する形での更新はされていませんでした。

修正期限と推奨される緩和策

米連邦民間機関には、3日以内にこの脆弱性を修正するよう指示が出されています。CISAはまた、すべての組織に対し、4月のセキュリティ更新プログラムをできるだけ速やかに適用するよう推奨しています。即座のパッチ適用が難しいシステムについては、Microsoftは、IKEを必要としないシステムであればUDPポート500番と4500番への受信トラフィックをブロックするよう助言しています。同サービスを実際に利用している環境では、ファイアウォールを設定し、既知の信頼できるホストからの接続のみを許可するようにすべきです。

この脆弱性のリスクが高い理由

CVE-2026-33824がもたらす危険性は、いくつかの要因が重なって深刻化しています。攻撃はすべてネットワーク経由で行われ、認証も一切不要であるうえ、すでに実環境で悪用が確認されているためです。影響を受けるUDPポート経由で到達可能なWindowsシステムのうち、4月のパッチをまだ適用していないものについては、直ちに更新を行うべきです。