Windows IKE 拡張の二重解放（未認証のリモートコード実行・自律型AI攻撃キャンペーンで実際に悪用・KEV 期限 2026-08-21）

Critical（CVSS 9.8）に分類されるMicrosoft Windows（IKE 拡張。Windows 10 1607/1809/21H2/22H2、Windows 11、Windows Server 各版。修正ビルドは版ごとに異なる）の脆弱性です。Windows の IKE 拡張（Internet Key Exchange Service Extensions）に二重解放の欠陥があり、未認証の攻撃者がネットワーク越しに任意コードを実行できる。NVD の記述は「Double free in Windows IKE Extension allows an unauthorized attacker to execute code over a network」。CVSS は Microsoft（secure@microsoft.com）が CVSS 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）を付与しており、NVD の Primary スコアは本稿執筆時点で未付与（vulnStatus は Analyzed、published は 2026-04-14、lastModified は 2026-08-19）。IKE は IPsec VPN の鍵交換を担う機能で、外向きの VPN 終端で待ち受けているのが通例である。つまりこの欠陥は「境界の内側」ではなく「境界そのもの」に開いている。影響範囲は広く、NVD の CPE には Windows 10（1607 / 1809 / 21H2 / 22H2 など）、Windows 11、Windows Server の各版が並び、修正ビルドは版ごとに異なる（例: 1607 は 10.0.14393.9060 未満、1809 は 10.0.17763.8644 未満、21H2 は 10.0.19044.7184 未満）。CISA KEV には 2026-08-18 に収載され、是正期限は 2026-08-21。ランサムウェア利用は Unknown（不明）。特筆すべきは NVD の参考文献で、Palo Alto Networks Unit 42 が公開した自律型 AI による攻撃キャンペーンの分析レポートが挙がっている。同レポートは、攻撃者が手動の作戦として「3つの IKE VPN エンドポイントに対するリバースシェルのコールバック」に本 CVE を用いたと記載している。すなわち理論上の悪用可能性ではなく、実際の攻撃活動で使われた記録がある。

最初に確認するのは「IKE を待ち受けている Windows がどこにあるか」である。IPsec VPN のサーバ、RRAS を有効にしたサーバ、そしてサイト間 VPN の終端が該当する。IKE は UDP 500 と UDP 4500 で待ち受けるので、外向きファイアウォールでこの2ポートが通っている宛先を洗い出すのが最短経路になる。ここで見落としやすいのが、VPN 用途として意識されていない機器である。IKE 拡張は Windows の機能として同梱されているため、「VPN サーバとして運用しているつもりはないが RRAS が有効になっている」サーバが残っていることがある。役割ベースの棚卸しではなく、実際に UDP 500/4500 が開いているかで見ること。次にビルド番号を確定する。修正ビルドは Windows の版ごとに異なるため、一律の番号で判定できない。winver または systeminfo でビルドを取り、MSRC のアドバイザリ（CVE-2026-33824 のページ）が示す版ごとの修正ビルドと突き合わせる。更新は通常の月例パッチで配布されるため、パッチ管理の対象に入っていれば適用済みの可能性が高い。むしろ問題になるのは、再起動が必要なために保留されているサーバと、パッチ管理から外れている DMZ の機器である。KEV 期限が 2026-08-21 と短いので、更新までの間の緩和として、IKE の待ち受けを必要な対向先の IP に絞ることを検討する。ただし未認証で成立する欠陥なので、対向先を騙れる位置にいる攻撃者には効かない。実際の悪用が確認されている以上、更新前に UDP 500/4500 を外部へ開けていた機器は侵害を前提に点検する。見るのは、IKE のサービスプロセスから起動された想定外の子プロセス、リバースシェルの痕跡（外向きの持続的な TCP 接続、とくに常用しないポートへのもの）、そして VPN サーバに保存されていた資格情報と証明書である。VPN 終端は認証情報の集積点なので、ここを取られた場合の被害は当該サーバに留まらない。完了条件は、（1）IKE を待ち受ける全 Windows が版ごとの修正ビルドであること、（2）露出していた期間の点検が済んでいること、（3）VPN の事前共有鍵・証明書・アカウント資格情報を再発行済みであることの3点である。

Microsoft Windows（IKE 拡張。Windows 10 1607/1809/21H2/22H2、Windows 11、Windows Server 各版。修正ビルドは版ごとに異なる） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-33824）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/21 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。