Une RCE non authentifiée dans Windows IKE est exploitée via les ports 500 et 4500

18 août 2026. Le CISA ajoute CVE-2026-33824 à son catalogue des vulnérabilités activement exploitées (KEV). Avril 2026, Microsoft corrigeait la faille lors de son Patch Tuesday. Août 2026, des attaquants l’exploitent déjà en conditions réelles. Entre les deux, quatre mois : c’est exactement le délai qu’un périmètre réseau non patché offre à un attaquant.

La faille touche Windows IKE, le composant qui négocie les tunnels IPsec — autrement dit, la serrure de vos VPN. Elle n’exige aucune authentification : un paquet suffit pour exécuter du code.

Un double free dans l’échange de clés

La vulnérabilité vit dans MS-IKEE, les extensions que Microsoft a greffées sur le protocole IKE (Internet Key Exchange). Ces extensions ajoutent l’authentification par CGA (cryptographically generated addresses), une protection contre le déni de service et une meilleure interopérabilité avec les pairs non IPsec.

La description de Microsoft tient en une ligne : « Double free in Windows IKE Extension allows an unauthorized attacker to execute code over a network. » Concrètement, un attaquant non authentifié envoie des paquets spécialement conçus à une machine Windows où IKEv2 est activé, sur les ports UDP 500 (négociation initiale) ou UDP 4500 (traversée NAT). Le double free corrompt la mémoire et mène à une exécution de code à distance.

Le périmètre est large. Tous les Windows 10, Windows 11 et Windows Server encore supportés sont concernés. Ce n’est pas une faille de poste de travail exotique : c’est la pile réseau des serveurs qui exposent un service VPN à Internet.

Quatre mois entre le correctif et l’exploitation

Le calendrier raconte le vrai problème. Microsoft publie le correctif en avril 2026. Le 18 août 2026, le CISA constate l’exploitation active et impose aux agences fédérales américaines (FCEB) de corriger sous trois jours, conformément à la directive BOD 26-04.

Fait notable : Microsoft n’a toujours pas mis à jour son bulletin pour signaler l’exploitation. Le CISA l’a fait à sa place. Cette divergence n’est pas anodine — elle rappelle que le KEV confirme souvent plus vite que l’éditeur qu’une faille corrigée est devenue une faille exploitée.

Le CISA l’écrit sans détour : « Ce type de vulnérabilité est un vecteur d’attaque fréquent pour les acteurs malveillants et présente des risques significatifs pour l’entreprise fédérale. » La directive ne s’applique qu’au gouvernement américain, mais l’agence appelle tous les défenseurs de réseau à traiter la faille en priorité.

Pourquoi les ports 500 et 4500 sont votre périmètre oublié

Une passerelle VPN est, par définition, exposée sur Internet — c’est sa fonction. Mais elle est souvent traitée comme un équipement « de confiance » : on la patch au rythme du firmware, pas au rythme des CVE. C’est précisément ce biais que cette faille punit.

Les ports UDP 500 et UDP 4500 ne sont pas filtrés par défaut dans la plupart des organisations : ils doivent rester ouverts pour que les tunnels se montent. Résultat : l’attaquant n’a pas besoin de contourner un pare-feu applicatif — la porte d’entrée est le protocole lui-même.

Le piège supplémentaire est la méconnaissance de l’exposition. Ce n’est pas seulement le matériel VPN dédié qui est concerné : les rôles RRAS (Routing and Remote Access) et DirectAccess de Windows Server activent le service IKEEXT dès qu’une fonction VPN ou de routage est configurée. Beaucoup d’organisations exposent donc ce composant sans le savoir, sur des serveurs qu’elles ne classent pas comme « passerelles VPN ». La cartographie ne doit pas s’arrêter aux appliances : elle doit interroger le service IKEEXT sur chaque serveur Windows — et croiser cette cartographie avec le KEV chaque semaine, car chaque nouvel ajout au catalogue désigne une faille que des acteurs réels exploitent en ce moment.

Le contexte rend la menace plus concrète. Depuis novembre 2021, le CISA a taggé 385 vulnérabilités Microsoft activement exploitées, dont 112 également utilisées par des gangs ransomware. Cette semaine, l’agence a aussi confirmé que des failles dans Windows Task Host et dans SharePoint sont désormais exploitées par des opérations de ransomware. Une RCE réseau non authentifiée sur une passerelle VPN est exactement le type d’accès initial que ces groupes monétisent en quelques jours.

Détecter l’exploitation avant de patcher

Un double free mérite une parenthèse : le même bloc de mémoire est libéré deux fois. Le premier free rend la zone au système, le second la libère à nouveau et corrompt l’allocateur. L’attaquant qui maîtrise le contenu des paquets IKE écrit alors ses propres données à une adresse qu’il contrôle et détourne le flot d’exécution. La classe de faille est ancienne, mais sa localisation la rend exceptionnelle : la négociation IPsec précède l’authentification, donc aucun compte n’est requis pour atteindre le code vulnérable.

Patcher ne suffit pas si vous ignorez quelles machines écoutent. Cartographiez d’abord l’exposition :

# Quels processus écoutent sur UDP 500 et 4500 ?
Get-NetUDPEndpoint -LocalPort 500,4500 | Select-Object LocalAddress, LocalPort, OwningProcess

Ensuite, établissez une ligne de base du trafic IKE : un pic de paquets UDP entrants vers 500/4500 depuis des adresses qui ne sont pas des pairs VPN connus est le signal le plus fiable d’une tentative d’exploitation. Vos collecteurs NetFlow/IPFIX et les journaux du pare-feu suffisent.

Enfin, une machine compromise avant le patch le restera après. Une fois corrigé, surveillez les connexions sortantes inhabituelles depuis les serveurs VPN : c’est le signe qu’un code a été exécuté, pas seulement qu’un paquet est passé. Et gardez en tête le contexte du mois — le Patch Tuesday d’août 2026 a corrigé deux autres RCE pré-authentification sur QUIC (CVE-2026-62815) et Windows DNS (CVE-2026-62878). IKE, QUIC, DNS : les briques réseau de Windows, exposées par conception, sont le terrain de chasse du moment.

Corriger, ou fermer la porte réseau

Le correctif est la voie royale : c’est un patch mensuel standard, sans prérequis particulier, à appliquer sur tout serveur exposant IKE. Avant de patcher, deux commandes suffisent pour savoir où vous en êtes :

# Le service IKE et AuthIP IPsec est-il actif sur cette machine ?
Get-Service IKEEXT | Select-Object Status, StartType

# Si IKE n'est pas requis : bloquer le trafic entrant UDP 500 et 4500
New-NetFirewallRule -DisplayName "Block IKE inbound" `
  -Direction Inbound -Protocol UDP -LocalPort 500,4500 -Action Block

Pour ceux qui ne peuvent pas patcher immédiatement, Microsoft propose deux mitigations réseau :

• Bloquer le trafic entrant sur les ports UDP 500 et 4500 sur les systèmes qui n’utilisent pas IKE ;
• Restreindre par pare-feu le trafic entrant aux seules adresses des pairs connus, quand IKE est utilisé.

Ces règles transforment une RCE non authentifiée en une cible inaccessible. Mais elles ne remplacent pas le patch : un pair connu peut être compromis à son tour, et c’est lui qui devient alors la porte d’entrée.

Verdict

Cette faille n’est pas sophistiquée — elle est périmétrique. Un double free dans le composant qui établit vos tunnels VPN, exploitable sans authentification sur des ports que vous êtes obligé d’ouvrir, corrigé depuis avril et exploité en août : c’est exactement le scénario que le KEV existe pour court-circuiter.

La décision est binaire. Si vous exposez une passerelle IPsec/IKE vers Internet, appliquez CVE-2026-33824 sous 72 heures — c’est le délai qu’impose la BOD 26-04 aux agences fédérales, et il n’y a aucune raison de faire moins bien. Si IKE n’est pas utilisé sur une machine, bloquez immédiatement les ports UDP 500 et 4500 en entrée : vous fermez la porte avant même d’avoir patché.

Ce qui vaut pour cette faille vaut pour tout le parc : une vulnérabilité réseau corrigée mais non patchée est une vulnérabilité encore ouverte. Le KEV vous dit lesquelles sont réellement frappées — il ne reste qu’à agir.

Références

• BleepingComputer, « Critical RCE flaw in Windows IKE Extension now actively exploited », 19 août 2026.
• CISA, « CISA Adds Four Known Exploited Vulnerabilities to Catalog », 18 août 2026.
• Microsoft MSRC, « CVE-2026-33824 — Windows IKE Extension Remote Code Execution Vulnerability », avril 2026.
• NVD, « CVE-2026-33824 ».