A CISA deu três dias às agências para corrigirem esta falha do Windows - eis se afeta o seu PC

A Microsoft corrigiu esta falha em abril. Na quarta-feira, a CISA acrescentou-a à lista de vulnerabilidades a ser exploradas em ataques reais e deu às agências federais três dias para a corrigir, em vez das habituais duas semanas. Esse prazo diz muito sobre a gravidade que a agência lhe atribui.

A CVE-2026-33824 encontra-se na Windows IKE Extension, infraestrutura de rede que gere o handshake das ligações VPN encriptadas. Tem uma pontuação de 9,8 em 10, e a razão é a combinação de propriedades e não qualquer uma delas isolada: um atacante consegue executar código na máquina ao enviar-lhe pacotes especialmente construídos, não precisa de palavra-passe e não precisa de nada da sua parte. Sem clique, sem transferência. O tráfego chega pelas portas UDP 500 e 4500. Todas as versões suportadas de Windows 10, Windows 11 e Windows Server são afetadas.

Agora a parte que deve baixar as suas pulsações. Essas portas têm de estar acessíveis para que qualquer coisa disto funcione, e numa configuração doméstica normal não estão - o seu router não entrega tráfego de entrada não solicitado ao seu PC, a menos que alguém tenha propositadamente configurado isso. As máquinas genuinamente expostas são as que estão diretamente na internet, ou acessíveis através de uma rede onde um atacante já tenha um ponto de apoio. Nem a Microsoft nem a CISA disseram quem está a explorá-la nem como.

A correção está no Windows Update desde a Patch Tuesday de abril, e todas as atualizações mensais desde então continuam a incluí-la. Portanto, a questão não é se precisa dela - é se as suas atualizações têm realmente sido instaladas. A verificação do estado de segurança do Tendvane responde a isso em poucos segundos, e o assistente de reparação do Windows Update existe para os PCs onde as atualizações continuam a falhar.