概要
Microsoft Windowsの「Internet Key Exchange (IKE) Service Extensions」コンポーネントに存在する重大な脆弱性CVE-2026-33824(CVSSスコア9.8)が、実際の攻撃で悪用されていることが判明した。米CISA(サイバーセキュリティ・インフラストラクチャセキュリティ庁)は8月18日、本脆弱性を「既知の悪用された脆弱性(KEV)」カタログに追加し、連邦機関に対して3日以内のパッチ適用を義務付けた。影響を受けるのはWindows 10、Windows 11、Windows Serverの全サポートバージョンで、攻撃者は認証なしでリモートからコードを実行できる。
技術的な詳細
CVE-2026-33824は「ダブルフリー」と呼ばれるメモリ管理の欠陥に起因する。攻撃者はUDPポート500または4500経由で細工したパケットを送信するだけで、権限を持たずにコード実行を実現できるという。IKEはVPN接続などで使われるIPsecの鍵交換プロトコルであり、これを処理するWindowsのサービス拡張機能にこの欠陥が存在していた。Microsoftはすでに2026年4月のPatch Tuesdayで修正パッチを公開しているが、パッチ未適用のシステムが今回悪用の標的となっている。
悪用の状況
The Hacker Newsの報道によると、パロアルトネットワークスのUnit 42は、中国語話者の脅威アクターが、DeepSeekを活用したAI自動ハッキングキャンペーンを展開する一方で、本脆弱性を含む既知の脆弱性を悪用する手動での攻撃も並行して実施していると分析している。CISAは同日、本脆弱性と合わせてmacOSのスクリーン共有認証回避の欠陥(CVE-2026-65400、CVSS 9.8、Moneroマイナー配信に悪用)、SharePointの認証バイパス脆弱性(CVE-2026-55040、CVSS 9.1、PoC公開後に悪用)、vCenterのパストラバーサル脆弱性(CVE-2026-59310、CVSS 9.8、47カ国361のIPアドレスでバックドア設置に悪用)の計4件をKEVカタログに追加している。複数の主要プラットフォームを狙った悪用が同時期に相次いで確認された形だ。
対応策
CISAおよびセキュリティ専門家は、すべてのシステム管理者に対して未適用の場合は直ちにパッチを適用するよう強く推奨している。何らかの理由で即時のパッチ適用が困難な場合の代替策として、UDPポート500/4500への着信トラフィックをブロックするか、既知の信頼できるピアからの通信のみを許可するファイアウォールルールの設定が挙げられている。認証不要でリモートコード実行が可能という深刻度の高さから、インターネットに露出したVPNゲートウェイやWindows Server環境では特に優先的な対応が求められる。