La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. ha añadido una vulnerabilidad crítica de Microsoft Internet Key Exchange, rastreada como CVE-2026-33824, a su catálogo de Vulnerabilidades Explotadas Conocidas tras confirmar su explotación en ataques.

El fallo afecta a las Extensiones de Servicio de Microsoft Internet Key Exchange (IKE) y podría permitir la ejecución remota de código en sistemas vulnerables.

CISA añadió la vulnerabilidad el 18 de agosto de 2026 y estableció como fecha límite de remediación el 21 de agosto de 2026 para las organizaciones cubiertas por la Directiva Operativa Vinculante 26-04.

El corto plazo para aplicar el parche resalta la urgencia del problema y la probabilidad de que los actores de amenazas busquen activamente servicios de Microsoft IKE expuestos o sin parchear.

Vulnerabilidad de Microsoft IKE Explotada

La CVE-2026-33824 se describe como una vulnerabilidad de doble liberación (double-free) en las Extensiones de Servicio de Microsoft Internet Key Exchange. Una condición de doble liberación ocurre cuando el software libera la misma área de memoria más de una vez.

Los atacantes pueden manipular potencialmente la corrupción de memoria resultante para provocar la caída de un servicio, filtrar información o ejecutar código controlado por el atacante.

La vulnerabilidad está asociada con CWE-415, una categoría de debilidad que cubre los fallos de doble liberación. Si la explotación puede realizarse de forma remota y sin autenticación, el problema puede ser especialmente peligroso para los sistemas que exponen servicios relacionados con IKE a internet.

IKE es un componente de protocolo central comúnmente utilizado en despliegues de Seguridad de Protocolo de Internet (IPsec). Negocia asociaciones de seguridad y claves criptográficas para conexiones VPN.

Un compromiso exitoso de un endpoint con IKE habilitado podría dar a los atacantes un punto de apoyo en un dispositivo perimetral o en un sistema Windows que soporte conectividad relacionada con VPN.

CISA enumera actualmente el uso de ransomware para CVE-2026-33824 como desconocido, ya que Microsoft aún no ha vinculado públicamente el fallo con ninguna operación de ransomware específica.

Sin embargo, los errores de ejecución remota de código en servicios de red accesibles externamente suelen ser valiosos para los brókers de acceso inicial, grupos de espionaje y afiliados de ransomware, ya que permiten la entrada sin depender del phishing o de credenciales robadas.

CISA aconsejó a las organizaciones aplicar las mitigaciones proporcionadas por el proveedor de acuerdo con las instrucciones de Microsoft y seguir la BOD 26-04, que prioriza las actualizaciones de seguridad según el riesgo.

Las agencias y organizaciones afectadas deben identificar los activos que ejecutan las Extensiones de Servicio de Microsoft IKE, determinar si están expuestos a redes no confiables e instalar la actualización de seguridad pertinente lo más rápido posible.

Tus equipos de seguridad no deben limitar los esfuerzos de respuesta al despliegue de parches. También deberían revisar los registros perimetrales, la telemetría de VPN e IPsec, los registros de eventos de Windows, las alertas de endpoints y el tráfico de red en busca de signos de actividad sospechosa que involucren servicios IKE.

Las caídas inesperadas del servicio, los intentos repetidos de conexión malformados, los procesos inusuales generados por los servicios del sistema y el tráfico saliente desde la infraestructura VPN justifican una investigación.

Si tu organización no puede aplicar el parche inmediatamente, debe reducir la exposición donde sea posible. Esto puede incluir restringir el tráfico IKE a redes confiables, limitar los puertos UDP 500 y 4500 en los firewalls perimetrales cuando sea operativamente viable, y aislar los hosts afectados de la internet pública.

Cualquier solución temporal debe tratarse como un control a corto plazo y no como un reemplazo de la aplicación de la corrección de Microsoft. CISA también instruyó a las partes interesadas a seguir los requisitos de triaje forense aplicables y evaluar la exposición a internet de cada activo.

Si no puedes desplegar mitigaciones efectivas, considera dejar de usar el producto o servicio vulnerable hasta que haya una configuración segura disponible.