CISA confirma ataques ativos contra falha crítica de IKE no Windows, dá 3 dias para agências corrigirem

Uma falha crítica de execução remota de código nas Extensões de Serviço Internet Key Exchange (IKE) do Windows está sendo ativamente explorada, segundo a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA). A CISA adicionou a vulnerabilidade, catalogada como CVE-2026-33824, ao seu catálogo de Vulnerabilidades Conhecidas Exploradas em 18 de agosto, dando às agências civis federais dos EUA apenas três dias — até 21 de agosto — para aplicar mitigações sob a Diretiva Operacional Vinculante 26-04.

A falha afeta todas as versões atualmente suportadas do Windows 10, Windows 11 e Windows Server, tornando-a uma das vulnerabilidades do Windows de maior alcance divulgadas este ano.

Como funciona o ataque

CVE-2026-33824 é um bug de corrupção de memória do tipo double-free nas Extensões de Serviço IKE (MS-IKEE), o componente que o Windows usa para negociar conexões VPN IPsec. Um atacante não autenticado pode enviar pacotes especialmente criados para as portas UDP 500 ou 4500 — as portas padrão que o IKE usa para negociar VPN — para acionar a condição de double-free e executar código arbitrário com os privilégios do serviço afetado. Não são necessárias credenciais nem interação do usuário, e a vulnerabilidade é explorável remotamente pela rede.

Quem está por trás dos ataques

Segundo pesquisadores de segurança, a exploração tem sido limitada e direcionada até agora, não uma varredura em massa. A Unidade 42 da Palo Alto Networks observou um agente de ameaça de língua chinesa enviando manualmente callbacks de reverse-shell para três endpoints IKE VPN usando esse exploit — um padrão consistente com invasão deliberada e manual, em vez de ataques oportunistas automatizados. Notavelmente, a Microsoft não havia atualizado seu próprio aviso para refletir a exploração ativa no momento em que a CISA adicionou a falha ao seu catálogo, uma lacuna incomum entre a inteligência de ameaças do fornecedor e do governo.

O que os administradores devem fazer agora

A orientação da CISA é direta: aplicar a atualização de segurança da Microsoft imediatamente. Para sistemas onde a conectividade VPN baseada em IKE não é usada, os administradores devem bloquear completamente as portas de entrada UDP 500 e 4500. Onde o IKE é necessário — para VPNs site a site ou de acesso remoto — as regras de firewall devem ser reforçadas para aceitar tráfego apenas de endereços de pares conhecidos e confiáveis, em vez de deixar as portas abertas para a internet.

Como qualquer sistema Windows que exponha o IKE a redes não confiáveis é um alvo viável, a exposição não se limita a agências federais — a mesma urgência de três dias implícita na diretiva da CISA se aplica a qualquer organização que execute gateways VPN em versões afetadas do Windows.

Parte de um ciclo de patches mais movimentado que o normal

Essa divulgação segue o Patch Tuesday de agosto de 2026 da Microsoft, que corrigiu aproximadamente 400 falhas, incluindo vários zero-days — e ocorre na mesma semana em que pesquisadores de segurança divulgaram separadamente um bypass de escalonamento de privilégios do Defender conhecido como ShieldBreak. O agrupamento de bugs do Windows de alta severidade e ativamente explorados este mês destaca por que existe o catálogo de Vulnerabilidades Conhecidas Exploradas da CISA: a priorização de patches importa mais que o volume de patches quando múltiplos problemas críticos surgem na mesma janela.

Conforme relatado pela BleepingComputer, a CVE-2026-33824 foi adicionada ao catálogo da CISA em 18 de agosto de 2026, com remediação federal exigida até 21 de agosto.