Una vulnerabilità critica di esecuzione di codice remoto nel componente Windows Internet Key Exchange (IKE) Extension è ora sfruttata attivamente. Tutte le versioni supportate di Windows 10, 11 e Server sono a rischio. CISA impone patch immediate e avverte di gravi rischi per enti pubblici e privati.
Una nuova minaccia informatica mette in allerta aziende e pubbliche amministrazioni: la U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha confermato che cybercriminali stanno sfruttando una vulnerabilità di gravità critica nel componente Windows Internet Key Exchange (IKE) Service Extensions, noto anche come MS-IKEE. Questa estensione del protocollo IKE, utilizzata per autenticazione e interoperabilità tra sistemi, è presente in tutte le versioni supportate di Windows 10, Windows 11 e Windows Server.
La falla, identificata come CVE-2026-33824, consente a un attaccante non autenticato di eseguire codice da remoto inviando pacchetti malevoli tramite le porte UDP 500 o 4500 verso sistemi Windows non aggiornati. Microsoft, nel bollettino pubblicato durante il Patch Tuesday di aprile 2026, ha spiegato che il bug è dovuto a un "double free" nella gestione della memoria dell'estensione IKE. L'azienda raccomanda, per chi non può applicare subito la patch, di bloccare il traffico in ingresso sulle porte UDP 500 e 4500 o di limitare l'accesso solo a indirizzi peer conosciuti.
Attacchi attivi e risposta delle autorità
Nonostante Microsoft non abbia ancora aggiornato il proprio avviso per segnalare lo sfruttamento attivo, CISA ha inserito la vulnerabilità nel catalogo delle minacce in corso e ha imposto alle agenzie federali statunitensi di mettere in sicurezza i dispositivi entro tre giorni, come previsto dalla Binding Operational Directive 26-04. L'agenzia sottolinea che vulnerabilità di questo tipo rappresentano un vettore di attacco frequente e un rischio significativo per l'intero settore pubblico. CISA invita inoltre tutti i responsabili IT, anche nel settore privato, a dare priorità all'aggiornamento per bloccare gli attacchi in corso.
Rischi crescenti e precedenti recenti
La pressione sulle organizzazioni è aumentata dopo che CISA ha confermato, solo pochi giorni fa, che una vulnerabilità di alta gravità in Windows Task Host è stata sfruttata in attacchi ransomware. Inoltre, operazioni ransomware hanno iniziato a sfruttare anche una falla RCE in Microsoft SharePoint, come già avvenuto per altre piattaforme critiche. Dal novembre 2021, CISA ha catalogato ben 385 vulnerabilità Microsoft attivamente sfruttate, di cui 112 utilizzate anche da gruppi ransomware.
Il panorama delle minacce evolve rapidamente: come già accaduto con altre piattaforme enterprise, tra cui SAP Commerce Cloud, dove una falla critica ha portato a ondate di attacchi mirati (approfondimento su casi recenti di vulnerabilità sfruttate), anche le infrastrutture Windows restano un bersaglio privilegiato. Al momento, né CISA né Microsoft hanno fornito dettagli aggiuntivi sugli attacchi specifici che sfruttano CVE-2026-33824, ma la raccomandazione unanime è di intervenire tempestivamente con le patch di sicurezza.
