CISA dała agencjom trzy dni na załatanie tej luki w Windows - oto czy dotyczy ona twojego komputera

Microsoft naprawił tę lukę w kwietniu. W środę CISA dodała ją do listy podatności aktywnie wykorzystywanych w atakach i dała agencjom federalnym trzy dni na załatanie jej, zamiast zwykłych dwóch tygodni. Ten termin sam w sobie pokazuje, jak agencja ocenia powagę sytuacji.

CVE-2026-33824 znajduje się w rozszerzeniu Windows IKE, mechanizmie sieciowym odpowiedzialnym za nawiązywanie połączenia w szyfrowanych połączeniach VPN. Otrzymała ocenę 9,8 na 10, a powodem jest połączenie kilku cech, a nie żadna z nich z osobna: atakujący może uruchomić kod na komputerze, wysyłając specjalnie spreparowane pakiety, nie potrzebuje hasła i w ogóle niczego od ciebie nie wymaga. Żadnego kliknięcia, żadnego pobierania. Ruch sieciowy dociera na portach UDP 500 i 4500. Dotyczy to każdej wspieranej wersji Windows 10, Windows 11 oraz Windows Server.

A teraz część, która powinna uspokoić twój puls. Aby cokolwiek z tego zadziałało, te porty muszą być osiągalne, a w typowej domowej konfiguracji nie są - twój router nie przekazuje niechcianego ruchu przychodzącego do komputera, chyba że ktoś celowo tak to skonfigurował. Naprawdę narażone są maszyny wystawione bezpośrednio do internetu albo osiągalne w sieci, w której atakujący ma już jakiś przyczółek. Ani Microsoft, ani CISA nie ujawniły, kto wykorzystuje tę lukę ani w jaki sposób.

Poprawka jest dostępna w Windows Update od kwietniowego Patch Tuesday, a każda kolejna comiesięczna aktualizacja ją przenosi dalej. Pytanie więc nie brzmi, czy jej potrzebujesz, tylko czy twoje aktualizacje rzeczywiście się instalują. Kontrola stanu zabezpieczeń w Tendvane odpowiada na to w kilka sekund, a kreator naprawy Windows Update jest przeznaczony dla komputerów, na których aktualizacje wciąż zawodzą.