CISA дала відомствам три дні на виправлення цієї вразливості Windows - ось чи стосується вона вашого ПК

Microsoft виправила цю вразливість у квітні. У середу CISA додала її до списку вразливостей, що активно експлуатуються в реальних атаках, і дала федеральним агентствам три дні на встановлення виправлення замість звичних двох тижнів. Такий термін свідчить про те, наскільки серйозно агентство її оцінює.

CVE-2026-33824 міститься у Windows IKE Extension - мережевій технічній обв'язці, що відповідає за встановлення захищеного з'єднання для зашифрованих VPN-підключень. Вона оцінюється в 9,8 з 10, і причина в поєднанні властивостей, а не в якійсь одній із них: зловмисник може виконати код на машині, надіславши спеціально сформовані пакети, при цьому не потребує пароля і взагалі нічого від вас. Жодного кліка, жодного завантаження. Трафік надходить на порти UDP 500 і 4500. Уразливими є всі підтримувані версії Windows 10, Windows 11 та Windows Server.

А тепер частина, яка мала б заспокоїти пульс. Ці порти мають бути доступними ззовні, щоб будь-що з цього спрацювало, а на звичайній домашній конфігурації вони недоступні - ваш маршрутизатор не передає незапитаний вхідний трафік на ваш ПК, якщо тільки хтось навмисно так це не налаштував. Справді вразливі машини - це ті, що стоять безпосередньо в інтернеті, або доступні через мережу, де зловмисник уже має плацдарм. Ні Microsoft, ні CISA не повідомили, хто саме експлуатує цю вразливість і як.

Виправлення перебуває у Windows Update ще з квітневого "вівторка виправлень", і кожне щомісячне оновлення відтоді переносить його далі. Тож питання не в тому, чи воно вам потрібне, а в тому, чи справді встановлювалися ваші оновлення. Перевірка стану безпеки Tendvane відповідає на це за кілька секунд, а майстер відновлення Windows Update призначений для ПК, де оновлення постійно не встановлюються.