La CISA confirme des attaques actives sur une faille IKE critique de Windows, laisse 3 jours aux agences pour corriger

Une faille critique d'exécution de code à distance dans les extensions de service Internet Key Exchange (IKE) de Windows est activement exploitée dans la nature, selon l'Agence de cybersécurité et de sécurité des infrastructures américaine (CISA). La CISA a ajouté la vulnérabilité, référencée CVE-2026-33824, à son catalogue des vulnérabilités connues exploitées le 18 août, laissant aux agences civiles fédérales américaines seulement trois jours — jusqu'au 21 août — pour appliquer des mesures d'atténuation en vertu de la directive opérationnelle contraignante 26-04.

La faille affecte toutes les versions actuellement prises en charge de Windows 10, Windows 11 et Windows Server, en faisant l'une des vulnérabilités Windows les plus étendues divulguées cette année.

Comment fonctionne l'attaque

CVE-2026-33824 est un bug de corruption de mémoire de type double-free dans les extensions de service IKE (MS-IKEE), le composant que Windows utilise pour négocier les connexions VPN IPsec. Un attaquant non authentifié peut envoyer des paquets spécialement conçus vers les ports UDP 500 ou 4500 — les ports standards utilisés par IKE pour négocier les VPN — pour déclencher la condition de double-free et exécuter du code arbitraire avec les privilèges du service affecté. Aucune identification ni interaction utilisateur n'est requise, et la vulnérabilité est exploitable à distance via le réseau.

Qui est derrière les attaques

Selon des chercheurs en sécurité, l'exploitation a été jusqu'à présent ciblée et limitée, plutôt qu'un scan massif. L'Unité 42 de Palo Alto Networks a observé un acteur de menace sinophone envoyant manuellement des callbacks reverse-shell vers trois points de terminaison IKE VPN en utilisant cet exploit — un schéma cohérent avec une intrusion délibérée et manuelle plutôt que des attaques opportunistes automatisées. Fait notable, Microsoft n'avait pas mis à jour son propre avis pour refléter l'exploitation active au moment où la CISA a ajouté la faille à son catalogue, un écart inhabituel entre le renseignement sur les menaces du fournisseur et du gouvernement.

Ce que les administrateurs doivent faire maintenant

Les conseils de la CISA sont directs : appliquer immédiatement la mise à jour de sécurité de Microsoft. Pour les systèmes où la connectivité VPN basée sur IKE n'est pas utilisée, les administrateurs doivent bloquer entièrement les ports entrants UDP 500 et 4500. Là où IKE est requis — pour les VPN de site à site ou d'accès distant — les règles de pare-feu doivent être resserrées pour n'accepter le trafic que depuis des adresses de pairs connues et fiables plutôt que de laisser les ports ouverts sur internet.

Étant donné que tout système Windows exposant IKE à des réseaux non fiables est une cible viable, l'exposition ne se limite pas aux agences fédérales — la même urgence de trois jours impliquée par la directive de la CISA s'applique à toute organisation exploitant des passerelles VPN sur des versions Windows affectées.

Partie d'un cycle de correctifs plus chargé que d'habitude

Cette divulgation fait suite au Patch Tuesday d'août 2026 de Microsoft, qui a corrigé environ 400 failles dont plusieurs zero-days — et survient la même semaine où des chercheurs en sécurité ont révélé séparément un contournement d'escalade de privilèges Defender connu sous le nom de ShieldBreak. Le regroupement de bugs Windows de gravité élevée et activement exploités ce mois-ci souligne pourquoi le catalogue des vulnérabilités connues exploitées de la CISA existe : la priorisation des correctifs compte plus que le volume de correctifs lorsque plusieurs problèmes critiques apparaissent dans la même fenêtre.

Comme l'a rapporté BleepingComputer, CVE-2026-33824 a été ajoutée au catalogue de la CISA le 18 août 2026, avec une remédiation fédérale requise avant le 21 août.