CISA confirme l'exploitation active d'une faille dans le VPN de Windows Server

CISA a ajouté quatre vulnérabilités à son catalogue KEV (Known Exploited Vulnerabilities) le 18 août, sur la base de preuves d'exploitation active. L'une d'elles touche un composant que beaucoup de PME utilisent sans le savoir : le service IKE (Internet Key Exchange) de Windows, celui qui négocie les tunnels VPN.

La faille, CVE-2026-33824, est notée 9,8 sur 10 au CVSS. Elle vient d'un défaut de type « double free » dans le réassemblage des paquets IKEv2 : une même zone mémoire libérée deux fois, ce qui ouvre la voie à l'exécution de code arbitraire. Selon Zero Day Initiative, qui a documenté le mécanisme technique en avril, aucune authentification ni interaction utilisateur n'est nécessaire. Il suffit que le service IKE soit actif et joignable, sur les ports UDP 500 et 4500, pour qu'un paquet spécialement construit déclenche la faille.

Microsoft a corrigé le problème lors du Patch Tuesday d'avril 2026, en même temps que les autres correctifs du mois. Ce qui change le 18 août, c'est la confirmation par CISA que la faille est désormais exploitée dans la nature, plusieurs mois après sa publication : un rappel que « corrigé depuis longtemps » et « éliminé de tous les parcs » ne sont pas la même chose.

Qui est concerné

Le service IKE tourne par défaut sur la plupart des installations Windows, mais il ne devient une porte d'entrée exploitable que si des paquets IKE peuvent l'atteindre depuis l'extérieur. C'est le cas dans deux configurations courantes dans une PME :

• Un serveur Windows Server fait office de passerelle VPN, via le rôle RRAS avec l'option IKEv2 activée, pour permettre aux salariés de se connecter à distance.
• Un tunnel IPsec site à site relie deux implantations, en s'appuyant sur les services Windows plutôt que sur des boîtiers dédiés.

Si votre VPN passe par un boîtier pare-feu (SonicWall, Fortinet, ou équivalent) plutôt que par Windows Server, cet article ne vous concerne pas directement : c'est le pare-feu, pas Windows, qui négocie les tunnels. Dans le doute, la question à poser à votre prestataire est simple : « le rôle Accès à distance (RRAS) est-il installé sur l'un de nos serveurs, et le VPN passe-t-il par IKEv2 ? »

Ce qu'il faut vérifier aujourd'hui

Microsoft n'a pas publié de numéro KB unique et isolé pour cette faille : le correctif fait partie du cumulatif d'avril 2026, distribué comme toutes les mises à jour mensuelles. La vérification la plus fiable ne consiste donc pas à chercher un identifiant précis, mais à confirmer que le serveur reçoit ses mises à jour normalement et que le cumulatif d'avril 2026 y figure, via l'historique des mises à jour Windows ou la console WSUS si vous en avez une.

Si le serveur ne s'est pas mis à jour automatiquement depuis plusieurs mois, ou si vous n'êtes pas sûr, deux options :

1. Forcer une vérification manuelle des mises à jour et redémarrer le serveur si une installation était en attente.
2. En attendant, si le VPN n'est pas indispensable à l'instant, désactiver temporairement le service (sc config IKEEXT start= disabled puis sc stop IKEEXT) coupe le risque, au prix de la coupure du VPN.

Pour les serveurs où le VPN est nécessaire mais où le correctif ne peut pas être appliqué tout de suite, restreindre les ports UDP 500 et 4500 aux seules adresses IP des sites distants connus, plutôt que de les laisser ouverts à tout Internet, réduit fortement la surface d'attaque sans couper le service.

Une confirmation qui change le calendrier

CISA impose aux agences fédérales américaines des délais de remédiation courts pour tout ce qui entre au catalogue KEV, en général de l'ordre de quelques semaines. Une PME française n'est pas soumise à cette obligation, mais le signal qu'elle envoie reste utile : quand CISA confirme une exploitation active, c'est qu'un outil ou un groupe s'en sert déjà à grande échelle, pas seulement dans un laboratoire de recherche.

La même annonce du 18 août ajoutait aussi CVE-2026-59310, la faille VMware vCenter que cet article couvrait le 14 août à propos d'une campagne de ransomware attribuée à un groupe lié à la Chine. Si vous exploitez un vCenter, le correctif reste la priorité numéro un ; pour IKE, la question à trancher aujourd'hui est plus simple : avez-vous un serveur Windows qui fait du VPN, et a-t-il reçu ses mises à jour d'avril ?