La CISA a donné trois jours aux agences pour corriger cette faille Windows - voici si elle concerne votre PC

Microsoft a corrigé celle-ci en avril. Mercredi, la CISA l'a ajoutée à la liste des vulnérabilités exploitées dans des attaques réelles et a donné trois jours aux agences fédérales pour se corriger, au lieu des deux semaines habituelles. Ce délai en dit long sur la gravité que l'agence lui attribue.

CVE-2026-33824 se trouve dans l'extension IKE de Windows, la plomberie réseau qui gère la négociation des connexions VPN chiffrées. Elle obtient un score de 9,8 sur 10, et la raison tient à la combinaison des propriétés plutôt qu'à l'une d'elles en particulier : un attaquant peut exécuter du code sur la machine en lui envoyant des paquets spécialement conçus, sans avoir besoin d'un mot de passe, et sans rien avoir besoin de vous. Aucun clic, aucun téléchargement. Le trafic arrive sur les ports UDP 500 et 4500. Toutes les versions prises en charge de Windows 10, Windows 11 et Windows Server sont concernées.

Voici maintenant la partie qui devrait faire baisser votre pouls. Ces ports doivent être accessibles pour que tout cela fonctionne, et sur une installation domestique ordinaire, ils ne le sont pas : votre routeur ne transmet pas de trafic entrant non sollicité à votre PC, sauf si quelqu'un l'a délibérément configuré ainsi. Les machines réellement exposées sont celles qui se trouvent directement sur internet, ou accessibles via un réseau où un attaquant a déjà pris pied. Ni Microsoft ni la CISA n'ont indiqué qui l'exploite ni comment.

Le correctif est disponible via Windows Update depuis le Patch Tuesday d'avril, et chaque mise à jour mensuelle depuis le reporte. La question n'est donc pas de savoir si vous en avez besoin, mais si vos mises à jour se sont réellement installées. Le contrôle de posture de sécurité de Tendvane répond à cela en quelques secondes, et l'assistant de réparation de Windows Update est là pour les PC où les mises à jour échouent sans cesse.