Windows IKE 扩展组件高危远程代码执行漏洞已遭在野利用

美国网络安全和基础设施安全局（CISA）发出警告，黑客正在利用 Windows 互联网密钥交换（IKE）服务扩展组件中的一个危急级别远程代码执行（RCE）漏洞。

该组件即 MS‑IKEE 协议规范，是微软为 IKE 协议新增的一组扩展能力，包含密码生成地址（CGA）身份认证、拒绝服务防护、与不支持 IPsec 的对等设备之间的互操作能力等功能。

漏洞编号CVE‑2026‑33824，影响所有受支持版本的 Windows 10、Windows 11 以及 Windows Server 系统。无需权限的攻击者，向未打补丁的 Windows 系统的UDP 500 或 4500 端口发送特制恶意数据包，即可实现远程代码执行。

“Windows IKE 扩展中存在双重释放（Double‑Free）漏洞，允许未授权攻击者通过网络执行代码。”—— 微软 MSRC 在 2026 年 4 月补丁星期二发布该漏洞修复公告中如此描述。

“未经过身份认证的攻击者可向开启 IKEv2 的 Windows 主机发送特制数据包，从而实现远程代码执行。”

微软同时给出临时缓解方案：如果无法立刻安装 CVE‑2026‑33824 安全补丁，不使用 IKE 协议的系统，阻断 UDP 500、4500 入站流量；如果业务必须使用 IKE，则配置防火墙规则，仅允许受信任对等地址访问上述端口。

漏洞现已在野外真实环境遭利用

虽然微软尚未更新安全公告标记该漏洞已被实际利用，但 CISA 已于 8 月 18 日将 CVE‑2026‑33824 录入已知被利用漏洞 KEV 目录，依据 BOD 26‑04 强制指令，要求美国联邦民用行政部门（FCEB）必须在三日之内完成设备加固处置。

CISA 警示：“这类漏洞是恶意网络行为者的常用攻击入口，对联邦机构资产构成重大风险。”

BOD 26‑04 强制指令虽然仅约束美国政府机构，但 CISA 呼吁全网安全运维人员，优先修补 CVE‑2026‑33824，抵御正在发生的攻击。

微软暂未回复关于该漏洞实际攻击事件的问询，CISA 发言人表示没有更多细节可以对外披露。

此前 CISA 还披露，4 月录入 KEV 目录的 Windows 任务主机漏洞（CVE‑2025‑60710）现已遭到勒索软件团伙滥用；上周 CISA 也预警，勒索组织正在利用微软 SharePoint 漏洞开展攻击活动。

自 2021 年 11 月至今，CISA 已经标记数百个在野利用的微软产品漏洞，其中112 个漏洞被勒索软件团伙实际用于攻击。