A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, acrescentou nesta terça-feira quatro vulnerabilidades críticas ao seu catálogo de Vulnerabilidades Conhecidas Exploradas, o KEV, informando que elas estão sendo exploradas na prática.
Entre as falhas incluídas está a
CVE-2026-33824
, uma vulnerabilidade de double free no Microsoft Internet Key Exchange Service Extensions, também chamada de MS-IKEE, que pode permitir que um atacante não autorizado execute código pela rede. Essa tecnologia reúne recursos adicionais adicionados pela Microsoft ao protocolo IKE, incluindo autenticação por meio de endereços gerados criptograficamente, proteção contra negação de serviço e maior interoperabilidade com pares que não oferecem suporte ao Internet Protocol Security, o IPsec.
Identificada como
CVE-2026-33824
, a vulnerabilidade afeta todas as versões com suporte do Windows 10, do Windows 11 e do Windows Server. O problema permite que invasores sem privilégios executem código ao enviar pacotes maliciosamente elaborados para sistemas Windows sem patch, por meio das portas UDP 500 ou 4500.
“A dupla liberação de memória no Windows IKE Extension permite que um invasor não autorizado execute código pela rede”, informou a Microsoft em um comunicado divulgado durante a edição de abril de 2026 do Patch Tuesday, quando corrigiu a falha.
“Um atacante sem autenticação poderia enviar pacotes especialmente criados para uma máquina Windows com a versão 2 do Internet Key Exchange, o que pode permitir a execução remota de código.”
A CISA também incluiu em seu catálogo outras três vulnerabilidades críticas: a
CVE-2026-65400
, com pontuação CVSS de 9,8, uma falha de autenticação inadequada que afeta o Apple macOS e pode permitir que um atacante na rede se autentique no Screen Sharing sem credenciais válidas; a
CVE-2026-55040
, com pontuação CVSS de 9,1, uma vulnerabilidade de autenticação fraca no Microsoft SharePoint que pode permitir que um atacante não autorizado contorne um recurso de segurança pela rede; e a CVE-2026-59310, com pontuação CVSS de 9,8, uma falha de travessia de caminho no Broadcom VMware vCenter que pode permitir que um threat actor com acesso à rede do vCenter execute código arbitrário.
Embora as falhas já tenham recebido patch das respectivas empresas, relatórios públicos apontam que elas seguem sob exploração ativa. No caso do macOS da Apple, a falha foi usada para distribuir um minerador de criptomoeda Monero. Já a vulnerabilidade do SharePoint passou a ser explorada por atores desconhecidos após a divulgação de um código de prova de conceito, o PoC. A falha no VMware vCenter teria sido explorada por um APT com suspeita de ligação com a China para implantar um backdoor e binários reverse_ssh, garantindo acesso persistente às instâncias comprometidas. Em pelo menos um caso, a campanha levou à instalação de um ransomware derivado do Babuk.
Ao todo, a atividade comprometeu 361 endereços IP únicos de vítimas em 47 países. A maior parte das infecções se concentrou na Alemanha, com 55 casos, nos Estados Unidos, com 41, na Turquia, com 38, no Irã, com 26, e na França, com 25.
Segundo a Palo Alto Networks Unit 42, a
CVE-2026-33824
também foi observada sendo explorada por outro threat actor que fala chinês. Segundo a empresa, esse grupo teria lançado ao mesmo tempo uma campanha autônoma de hacking com uso de IA, com o DeepSeek, além de conduzir operações manuais com vulnerabilidades conhecidas, incluindo o Microsoft Internet Key Exchange.
A Microsoft também orientou equipes de segurança que não consigam instalar imediatamente a atualização de segurança da
CVE-2026-33824
a bloquear o tráfego de entrada nas portas UDP 500 e 4500 em sistemas que não utilizam IKE. Quando o recurso estiver em uso, a recomendação é configurar regras de firewall para permitir tráfego de entrada apenas a partir de endereços conhecidos dos pares.
Embora a Microsoft ainda não tenha atualizado seu comunicado para indicar exploração ativa, a CISA incluiu a falha em seu catálogo de vulnerabilidades exploradas ativamente e determinou que as agências civis do Poder Executivo Federal dos Estados Unidos, conhecidas como FCEB, protejam seus dispositivos em até três dias, conforme exigido pela Diretiva Operacional Vinculante 26-04. As agências têm até 21 de agosto de 2026 para atualizar os sistemas vulneráveis para a versão mais recente e seguir as diretrizes de patching da BOD 26-04, a fim de obter proteção ideal.
“Esse tipo de vulnerabilidade é um vetor de ataque frequente para agentes cibernéticos maliciosos e representa riscos significativos para o ambiente federal”, alertou a agência norte-americana na terça-feira.
Além disso, embora a BOD 26-04 se aplique apenas a órgãos governamentais, a CISA pediu que todos os responsáveis por defesa de redes priorizem a correção da falha
CVE-2026-33824
para conter os ataques em andamento.
Na sexta-feira, a CISA também confirmou que uma vulnerabilidade de alta gravidade no Windows Task Host, marcada como explorada ativamente em abril, agora também está sendo abusada em ataques de ransomware. Na semana passada, a agência já havia alertado que operações de ransomware passaram a usar uma vulnerabilidade de RCE no Microsoft SharePoint em ataques, depois de confirmar exploração real no início de julho.
Desde novembro de 2021, a CISA já catalogou 385 vulnerabilidades exploradas ativamente em diferentes produtos da Microsoft, sendo que 112 delas também foram exploradas por grupos de ransomware.
Até o momento, porta-vozes da CISA e da Microsoft ainda não responderam sobre os ataques em andamento que têm como alvo a vulnerabilidade
CVE-2026-33824
.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...