פגיעות RCE קריטית ב-Windows IKE‏ (CVE-2026-33824) מנוצלת בפועל; נוספה ל-KEV

מיקרוסופט ו-CISA מאשרות שפגיעות קריטית בהרחבת ה-IKE של Windows, המשמשת ליצירת חיבורי IPsec/VPN, מנוצלת בפועל בהתקפות. הפגיעות מאפשרת לתוקף לא מזוהה להריץ קוד מרחוק על מכונות Windows שבהן שירות ה-IKE פעיל, ללא צורך באינטראקציה מצד המשתמש — ולכן קיבלה ציון חומרה כמעט מקסימלי.

מה קרה

הפגיעות, CVE-2026-33824, נובעת משגיאת double-free (שחרור כפול של זיכרון) בספרייה ikeext.dll, האחראית על הרכבה מחדש של מקטעי הודעות בפרוטוקול IKEv2. תוקף שולח למכונת יעד חבילת רשת מיוחדת לכתובת שבה שירות ה-IPsec מאזין, וגורם לאותו אזור זיכרון להשתחרר פעמיים. ניצול מוצלח דורש מהתוקף לנצח מרוץ תזמון (race condition) ולבצע כמה שלבי הכנה מוקדמים, כך שהמימוש בפועל אינו טריוויאלי — אך זה לא מנע מתוקפים לנצל אותה בשטח.

מיקרוסופט תיקנה את הפגיעות כבר בעדכוני אפריל 2026, אך רק בחודש הנוכחי אישרה CISA שהיא מנוצלת בפועל והוסיפה אותה לקטלוג ה-KEV. הפער בין מועד התיקון למועד אישור הניצול ממחיש דפוס נפוץ בעדכוני Windows: ארגונים רבים דוחים התקנה של עדכון שנראה שגרתי, עד שמתברר שהוא קריטי בפועל.

נקודות לשים לב

• ודאו שהתקנתם את עדכון אפריל 2026 (או כל עדכון מצטבר מאוחר יותר) על כל שרתי ותחנות ה-Windows בארגון, ובעדיפות ראשונה על מכונות החשופות לרשת החיצונית.
• בדקו אילו מכונות מריצות שירות IKE/IPsec פעיל ומאזינות בפורטים UDP 500 ו-4500 — אלה היעד הישיר של הפגיעות.
• אם אי אפשר לעדכן מיד, שקלו לחסום או להגביל גישה לפורטים 500/4500 מרשתות לא מהימנות עד להשלמת ההתקנה.
• גם מכונות שבהן שירות ה-IKE פעיל אך לא בשימוש יומיומי חשופות — כדאי לבדוק אם ניתן לכבות את השירות במכונות שאינן זקוקות ל-VPN/IPsec נכנס.
• הוספה לקטלוג ה-KEV מחייבת סוכנויות פדרליות אמריקאיות לתקן במהירות — אינדיקציה טובה לרמת הדחיפות גם עבור ארגונים אחרים.

מקורות: CISA · Zero Day Initiative