CISA confirma ataques activos contra una falla crítica de IKE en Windows y da a las agencias 3 días para parchear

Una falla crítica de ejecución remota de código en las Extensiones de Servicio de Intercambio de Claves de Internet (IKE) de Windows está siendo explotada activamente en la práctica, según la Agencia de Seguridad de Ciberseguridad e Infraestructura de EE. UU. (CISA). CISA añadió la vulnerabilidad, catalogada como CVE-2026-33824, a su catálogo de Vulnerabilidades Explotadas Conocidas el 18 de agosto, dando a las agencias civiles federales de EE. UU. solo tres días — hasta el 21 de agosto — para aplicar mitigaciones bajo la Directiva Operativa Vinculante 26-04.

La falla afecta a todas las versiones actualmente compatibles de Windows 10, Windows 11 y Windows Server, convirtiéndola en una de las vulnerabilidades de Windows de mayor alcance divulgadas este año.

Cómo funciona el ataque

CVE-2026-33824 es un fallo de corrupción de memoria de tipo double-free en las Extensiones de Servicio IKE (MS-IKEE), el componente que Windows usa para negociar conexiones VPN IPsec. Un atacante no autenticado puede enviar paquetes especialmente diseñados a los puertos UDP 500 o 4500 — los puertos estándar que usa IKE para negociar VPN — para activar la condición de double-free y ejecutar código arbitrario con los privilegios del servicio afectado. No se requieren credenciales ni interacción del usuario, y la vulnerabilidad es explotable remotamente a través de la red.

Quién está detrás de los ataques

Según investigadores de seguridad, la explotación ha sido limitada y dirigida hasta ahora, no un escaneo masivo. La Unidad 42 de Palo Alto Networks observó a un actor de amenazas de habla china enviando manualmente callbacks de reverse-shell a tres endpoints IKE VPN usando este exploit — un patrón consistente con una intrusión deliberada y manual en lugar de ataques oportunistas automatizados. Notablemente, Microsoft no había actualizado su propio aviso para reflejar la explotación activa en el momento en que CISA añadió la falla a su catálogo, una brecha inusual entre la inteligencia de amenazas del proveedor y del gobierno.

Qué deben hacer ahora los administradores

La guía de CISA es directa: aplicar la actualización de seguridad de Microsoft de inmediato. Para sistemas donde no se usa conectividad VPN basada en IKE, los administradores deben bloquear completamente los puertos entrantes UDP 500 y 4500. Donde se requiera IKE — para VPN de sitio a sitio o de acceso remoto — las reglas de firewall deben ajustarse para aceptar tráfico solo de direcciones de pares conocidas y confiables en lugar de dejar los puertos abiertos a internet.

Dado que cualquier sistema Windows que exponga IKE a redes no confiables es un objetivo viable, la exposición no se limita a las agencias federales — la misma urgencia de tres días implícita en la directiva de CISA se aplica a cualquier organización que ejecute gateways VPN en versiones afectadas de Windows.

Parte de un ciclo de parches más ajetreado de lo habitual

Esta divulgación sigue al Patch Tuesday de agosto de 2026 de Microsoft, que corrigió aproximadamente 400 fallos incluyendo varios zero-days — y llega la misma semana en que investigadores de seguridad revelaron por separado un bypass de escalada de privilegios de Defender conocido como ShieldBreak. La agrupación de errores de Windows de alta severidad y activamente explotados este mes subraya por qué existe el catálogo de Vulnerabilidades Explotadas Conocidas de CISA: la priorización de parches importa más que el volumen de parches cuando múltiples problemas críticos aparecen en la misma ventana.

Según lo informado por BleepingComputer, CVE-2026-33824 fue añadida al catálogo de CISA el 18 de agosto de 2026, con remediación federal requerida antes del 21 de agosto.