CISA: חולשה קריטית ב-Windows IKE מנוצלת בתקיפות, ארבעה חודשים אחרי התיקון
CISA הוסיפה ב-18 באוגוסט את CVE-2026-33824 ב-Windows IKE לקטלוג החולשות המנוצלות. החולשה מאפשרת הרצת קוד מרחוק בלי סיסמה, והתיקון זמין מאפריל.
TL;DR בקצרה
- CISA הוסיפה את CVE-2026-33824 לקטלוג KEV ב-18 באוגוסט, יחד עם חולשות ב-SharePoint, ב-vCenter וב-macOS.
- החולשה ברכיב IKE Service Extensions מאפשרת הרצת קוד בלי הזדהות דרך פורטים UDP 500 ו-4500, במערכות עם IKEv2.
- Microsoft סגרה אותה בעדכון אפריל 2026. היא קיימת בכל הגרסאות הנתמכות של Windows 10, Windows 11 ו-Windows Server.
- CISA סימנה גם את CVE-2025-60710 ב-Task Host של Windows כחולשה שמפעילי כופרה מנצלים.
ב-18 באוגוסט הוסיפה הסוכנות האמריקאית להגנת סייבר, CISA, ארבע חולשות לקטלוג החולשות שתוקפים מנצלים בפועל. הבולטת שבהן היא CVE-2026-33824, חולשה קריטית ברכיב Windows IKE. דרכה תוקף יכול להריץ קוד מרחוק, בלי סיסמה ובלי הרשאות. Microsoft שחררה תיקון כבר בעדכון של אפריל 2026. כלומר, הסכנה מאיימת בעיקר על מחשבים ושרתים שלא קיבלו עדכונים כבר ארבעה חודשים.
מה זה Windows IKE ולמה החולשה מדאיגה
IKE, קיצור של Internet Key Exchange, הוא הפרוטוקול שמחשבים משתמשים בו כדי לתאם מפתחות הצפנה. הוא עובד מאחורי הקלעים בחיבורי VPN מסוג IPsec, למשל בין סניפים של חברה. החולשה יושבת ברכיב IKE Service Extensions של Windows. Microsoft מסווגת אותה כ-double free, כלומר באג שבו התוכנה משחררת את אותו אזור זיכרון פעמיים. תוקפים מנצלים באגים כאלה כדי להריץ קוד משלהם.
לפי BleepingComputer, התוקף לא צריך שם משתמש או הרשאות כלשהן. מספיק שהוא ישלח חבילות תקשורת שבנה במיוחד לפורט UDP 500 או 4500. התנאי היחיד הוא שבמערכת פועל IKE בגרסה 2. החולשה קיימת בכל הגרסאות הנתמכות של Windows 10, Windows 11 ו-Windows Server.
CISA לא פרסמה פרטים על התקיפות עצמן. גם Microsoft עוד לא עדכנה את דף החולשה כדי לציין ניצול בפועל. לדברי Microsoft, העדכון מאפריל מגן על הלקוחות, והם לא צריכים לעשות דבר נוסף. סוכנויות הממשל הפדרלי בארה״ב קיבלו שלושה ימים בלבד לטפל בחולשה.
לא רק Windows IKE: עוד חולשות ישנות על הכוונת
באותו יום הוסיפה CISA לקטלוג עוד שלוש חולשות. הראשונה ב-SharePoint של Microsoft (CVE-2026-55040), והשנייה ב-VMware vCenter של Broadcom (CVE-2026-59310). השלישית היא חולשה ב-macOS של Apple (CVE-2026-65400).
כמה ימים לפני כן, CISA עדכנה רשומה ישנה בקטלוג. לפי העדכון, גם קבוצות הכופרה מנצלות את CVE-2025-60710, חולשה ברכיב Task Host של Windows. החולשה מאפשרת למשתמש עם הרשאות בסיסיות לקבל הרשאות SYSTEM, הגבוהות ביותר במחשב. היא קיימת ב-Windows 11 וב-Windows Server 2025, ו-Microsoft סגרה אותה בעדכון נובמבר 2025. בקטלוג של CISA היא מופיעה כבר מ-13 באפריל 2026.
הנתונים של CISA מראים עד כמה התופעה רחבה. מאז נובמבר 2021 היא סימנה 385 חולשות במוצרי Microsoft כמנוצלות בפועל. קבוצות הכופרה ניצלו 112 מהן.
מה זה אומר עבורכם
- בדקו את העדכונים: ודאו שכל מחשבי ושרתי Windows קיבלו את עדכון האבטחה של אפריל 2026 או עדכון מאוחר ממנו. העדכונים המצטברים של Windows כוללים את התיקונים מהחודשים הקודמים.
- בדקו מי חשוף לאינטרנט: חפשו שרתים שמקבלים תעבורה נכנסת בפורטים UDP 500 ו-4500. שרת שלא משתמש ב-IKE? חסמו את הפורטים האלה בחומת האש.
- משתמשים ב-VPN מסוג IPsec? אפשרו תעבורת IKE נכנסת רק מכתובות ה-IP של הצד השני בחיבור. זו ההמלצה למי שלא יכול לעדכן מיד.
- אל תשכחו את Task Host: ודאו שמחשבי Windows 11 ושרתי Windows Server 2025 קיבלו את עדכון נובמבר 2025.
- תעדפו לפי הקטלוג של CISA: רשימת KEV עוזרת להחליט מה לעדכן ראשון. חולשה שמופיעה בה היא חולשה שתוקפים כבר מנצלים, ולכן היא בראש התור.
למה חולשות ישנות ממשיכות לעבוד
החולשה ב-Windows IKE מזכירה שתוקפים לא צריכים דווקא חולשות חדשות. ארגונים רבים דוחים עדכוני שרתים כי הם חוששים מהשבתה. בפועל, כל חודש של עיכוב משאיר חלון פתוח. ברגע ש-CISA מכניסה חולשה לקטלוג, ברור שמישהו כבר משתמש בה. זה הרגע להפסיק לדחות.
מקורות והרחבה
- CISA Adds Four Known Exploited Vulnerabilities to CatalogCISA
- CISA: Critical Windows IKE extension flaw now exploited in attacksBleepingComputer
- CISA: Windows Task Host flaw now exploited by ransomware gangsBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
