Windows IKE脆弱性が悪用中、4月更新の確認を

Windows IKE脆弱性が悪用中、4月更新の確認を 脆弱性・脅威情報
2026.08.24

【更新 2026-08-25】本記事を見直し、修正しました。主な修正点：①LoadMasterの事例を「KEV登録が修正から39日後」としていた記述を訂正しました（39日は攻撃観測の開始（2026年6月29日）からKEV登録（8月7日）までで、修正公開（6月4日）からは64日です）。あわせて「今回はその3倍以上」を、同じ基準（修正公開起点）で比較した「約2倍」に改めました。②IPA「中小企業の情報セキュリティ対策ガイドライン」のリンク先が上位のハブページだったため、ガイドライン本体のページに差し替えました。③悪用を最初に公表したUnit 42レポートの公開日（2026年7月30日）を時系列表に追記しました。

Windowsの標準コンポーネント「IKE拡張」の脆弱性 CVE-2026-33824（CVSS 9.8 / Critical）について、実際の攻撃での悪用が確認されました。米国CISAは2026年8月18日、これを悪用が確認された脆弱性カタログ（KEV）に追加しています。

修正そのものは2026年4月の月例更新で提供済みです。対応が必要なのは「4月以降の月例更新を当てていないWindows機」であり、その筆頭がインターネットに向けてUDP 500/4500を開けているVPNサーバーです。

この記事でわかること

  • 「Windows IKE拡張」とは何で、どこに入っているのか
  • 修正公開から126日後にKEV入りした経緯と、報道の読み違えやすい点
  • 影響を受けるWindowsのバージョンと修正ビルド
  • Microsoftの評価とCISAの評価が食い違っている点の読み解き方と、該当確認の手順

Windows IKE拡張とは何者か

IKE（Internet Key Exchange）とは、IPsec通信を始める前に暗号鍵の交換と相手の認証を行うプロトコルです。Windows IKE拡張（サービス名 IKEEXT、表示名「IKE and AuthIP IPsec Keying Modules」）は、その処理を担うWindows標準の部品で、IKEv2方式のリモートアクセスVPN（RRAS／Always On VPN）、拠点間IPsec VPN、社内のIPsec接続セキュリティ規則で使われます。

重要なのはこれがサードパーティ製品ではなくWindowsそのものに同梱されている点です。追加インストールは不要で、Windows 10からWindows Server 2025までサポート中の全系列が影響を受けます。「うちはVPNアプライアンスだから関係ない」という組織でも部品自体は全機に存在します。問題はそれが実際にUDP 500/4500で待ち受けているかで、これは構成次第です（確認手順は後述）。

何が起きたのか

CVE-2026-33824は、Windows IKE拡張における二重解放（CWE-415: Double Free）の脆弱性です。MicrosoftのFAQには「認証されていない攻撃者が、IKEバージョン2が有効なWindowsマシンに細工したパケットを送信することでリモートコード実行が可能になる可能性がある」と記載されています。認証不要・ユーザー操作不要・ネットワーク経由が揃い、CVSSv3.1基本値は9.8、深刻度は「Critical」です。

日付 できごと
2026年4月14日 Microsoftが4月の月例更新で修正を公開。同日NVDにも登録
2026年7月30日 Palo Alto Networks Unit 42が、本脆弱性の悪用を含む攻撃キャンペーンのレポートを公開
2026年8月18日 CISAがKEVカタログに追加（悪用確認）。米連邦機関の対処期限は8月21日＝3日
2026年8月19日 NVDが更新され、参照にPalo Alto Networks Unit 42のレポートが追加
2026年8月20日 Microsoftがアドバイザリを版1.1へ改訂（緩和策の記述を明確化。「情報のみの変更」と注記）

修正公開からKEV登録まで126日が経過しています（Unit 42がこの悪用を公表したのは107日後の7月30日です）。4月時点で「Exploitation Less Likely（悪用される可能性は低い）」と評価されていたものが、4か月後にKEV入りした形です。

観測された悪用は「AIによる自律攻撃」ではない

NVDが参照に追加したUnit 42のレポートには、ある攻撃者の活動として「3つのIKE VPNエンドポイントを標的としたリバースシェルのコールバック（CVE-2026-33824）」と記載されています。

ここで報道の読み方に注意が必要です。このレポートの主題は「攻撃者がDeepSeekをオーケストレーションフレームワークに接続し、AI駆動の自律的な攻撃キャンペーンを実行した」ことにあり、二次報道ではその文脈で束ねて語られがちです。しかしレポート上、CVE-2026-33824を突いた試行は攻撃者の手動操作として、AI駆動のキャンペーンとは区別して記述されています。実態は、境界に露出したVPNエンドポイントに未認証RCEを撃ち込むという古典的な攻撃です。

影響を受ける環境と修正ビルド

対象はサポート中のほぼ全系列で、すべて深刻度「Critical」・影響「リモートコード実行」です。

OS系列 KB番号 修正ビルド
Windows 11 26H1 KB5083768 10.0.28000.1836
Windows 11 25H2 / 24H2 KB5083769 26200.8246 / 26100.8246
Windows 11 23H2 KB5082052 10.0.22631.6936
Windows 10 22H2 KB5082200 10.0.19045.7184
Windows 10 21H2 KB5082200 10.0.19044.7184
Windows 10 1809 / Server 2019 KB5082123 10.0.17763.8644
Windows 10 1607 / Server 2016 KB5082198 10.0.14393.9060
Windows Server 2022 KB5082142 10.0.20348.5020
Windows Server 2022（23H2・Server Core） KB5082060 10.0.25398.2274
Windows Server 2025 KB5082063 10.0.26100.32690

いずれも2026年4月14日リリースの月例更新です。Windowsの品質更新は累積形式なので、5月以降のいずれかの月例を適用済みならこの修正も含まれます。「4月のKBが当たっているか」を個別に探す必要はなく、「その端末が最後に更新されたのはいつか」を見れば足ります。

Microsoftの評価とCISAの評価が食い違っている

本記事執筆時点（2026年8月23日）で、MicrosoftのアドバイザリはこのCVEを「悪用あり: いいえ（Exploited: No）」のままにしています。悪用可能性の評価も「Exploitation Less Likely」で据え置かれ、CVSS現状評価ベクタには E:U（Exploit Code Maturity: Unproven＝実証されていない）が入ったままです。しかもKEV追加の2日後にあたる8月20日に版1.1へ改訂しているにもかかわらず、その内容は「緩和策の記述の明確化。情報のみの変更」でした。

ここから引き出せる実務上の教訓は明快です。

  • ベンダーの「悪用あり」フラグをトリアージの唯一の入口にしない。脆弱性管理ツールの多くはベンダー提供のフラグやCVSS現状評価値を取り込むため、この脆弱性は社内のダッシュボード上で「悪用実績なし」に見えている可能性があります。
  • KEVカタログを独立した情報源として突き合わせる。機械可読なJSONで公開されており、資産インベントリとの突合は自動化できます。
  • 「CVSSは高いが悪用可能性は低い」という初期評価は時間とともに覆る。4月時点の判断が8月時点でも有効だとは限りません。

修正から悪用確認までのラグは今回に限りません。当サイトでもLoadMasterのKEV登録が攻撃観測の開始から39日後だった件を扱いましたが、あちらは修正公開（2026年6月4日）からKEV登録（8月7日）までが64日で、今回の126日はその約2倍にあたります。

自社が該当するかをどう確認するか

「Windows全機種が対象」では優先順位がつきません。危険なのは、IKEがインターネットから到達できるWindows機です。

まず境界のUDP 500/4500を探す

これが最短です。見落としやすいのは、Windows Serverでリモートアクセスを構築する手順そのものがこの開放を指示している点で、MicrosoftのAlways On VPN構築チュートリアルには「VPNサーバーの公開インターフェイスの外部IPアドレスに対して、UDPポート500および4500の受信を許可する」と明記されています。手順どおり構築した環境は当然その状態です。

サーバー／端末側での確認コマンド

[サービスの状態と UDP 500/4500 の待ち受け]
Get-Service IKEEXT
Get-NetUDPEndpoint -LocalPort 500,4500 -ErrorAction SilentlyContinue

[リモートアクセス(RRAS)構成 と IPsec接続セキュリティ規則]
Get-RemoteAccess -ErrorAction SilentlyContinue
Get-NetIPsecRule -ErrorAction SilentlyContinue

[更新の適用状況]
Get-ComputerInfo -Property OsName,OsVersion,WindowsVersion
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

累積更新なので、最終適用日が2026年4月14日より後かどうかで判定できます。3月以前で止まっているサーバーがあれば、4か月以上、CVSS 9.8の未認証RCEを抱えたまま外部に露出していたことになります。

すぐに更新できない場合の緩和策

Microsoftはアドバイザリで、IKEを使用していないシステムではUDPポート500および4500の受信をブロックする、IKEを必要とするシステムでは受信を既知のピアアドレスからのみに制限するという緩和策を示しています。ただしMicrosoft自身が「これらは攻撃対象領域を減らすものであり、セキュリティ更新プログラムの適用に代わるものではない」と明記しています。緩和策は時間稼ぎであってゴールではありません。

現場目線の課題

この手の脆弱性でいちばん厄介なのは技術面ではなく、「VPNサーバーだけ更新が止まっている」という運用の穴です。VPNゲートウェイは更新のたびに再起動が必要で、再起動すれば在宅勤務者の接続が全部切れます。「今夜は残業している人がいるから来週」を数回繰り返せば、あっという間に数か月が飛びます。しかもこの種のサーバーはWSUSやIntuneの自動承認グループからあえて除外されていることが多く、除外したこと自体が引き継がれずに忘れられます。「4月の月例は全社に配信したはず」という記憶ほど当てになりません。

もう一つはUDPポートの棚卸しが甘くなりがちな点です。境界ファイアウォールの棚卸しでTCP 443や3389は真っ先に確認しますが、UDP 500/4500は「昔からVPNで使う穴」として景色に溶け込み、開放理由を問い直す機会がほとんどありません。その穴の先にいるOSコンポーネント自体に未認証RCEが出た今、説明できないルールが一気にリスクになります。

情シスはどうすべきか

対応そのものは「月例更新を当てる」に尽きるため、自前の長いチェックリストを作る意味はありません。むしろ更新が止まる資産をなくす仕組み側に手を入れる局面です。公的機関の指針を出発点にするのが早道です。

なお、パッチを当てたあとにも仕事が残ります。CISAのBOD 26-04は、KEV掲載脆弱性への対応として更新の適用だけでなく「パッチ適用前に侵害されていなかったかを確認する」ことを基本的な期待事項として定めています。米連邦機関向けの指令であり日本の民間企業を拘束するものではありませんが、考え方は合理的です。4月から8月まで未適用のまま公開していたVPNサーバーがあるなら、更新して終わりにせず、その期間のログを見る価値があります。

まとめ

  1. CVE-2026-33824（Windows IKE拡張の二重解放、CVSS 9.8）の悪用が確認され、2026年8月18日にKEV入りしました。修正は2026年4月の月例更新で提供済みです。
  2. 優先対象はインターネットからUDP 500/4500が到達するWindowsサーバー（RRAS／Always On VPN／拠点間IPsec）。更新は累積形式なので「最終適用日が4月14日より後か」で判定できます。
  3. Microsoftのアドバイザリは執筆時点でも「悪用あり: いいえ」のままです。ベンダーの悪用フラグだけを頼りにすると社内ダッシュボードで低優先のまま埋もれます。KEVカタログを独立した情報源として突き合わせてください。

関連記事

出典

  • Microsoft Security Response Center「CVE-2026-33824」 msrc.microsoft.com
  • CISA「CISA Adds Four Known Exploited Vulnerabilities to Catalog」（2026年8月18日） cisa.gov
  • CISA「BOD 26-04: Prioritizing Security Updates Based on Risk」 cisa.gov
  • NIST NVD「CVE-2026-33824」 nvd.nist.gov
  • Palo Alto Networks Unit 42「Chinese-Speaking Threat Actor Harnesses AI Models for Autonomous Cyberattacks」 unit42.paloaltonetworks.com
  • Microsoft Learn「Tutorial: Deploy Always On VPN Infrastructure」 learn.microsoft.com
タイトルとURLをコピーしました