WindowsのVPN機能に乗っ取りの穴、実際の攻撃を確認 CVE-2026-33824

米国のサイバーセキュリティ機関CISAが2026年8月18日、Windowsの「IKE」という通信機能の脆弱性を「実際に攻撃されている脆弱性リスト（KEV）」に追加しました。管理番号はCVE-2026-33824、危険度は10点満点の9.8です。ログインも利用者の操作も不要で、ネットワーク越しに送りつけられたデータだけでWindowsを乗っ取られる可能性があります。

ただし、慌てて何かを止める前に確認したいことがあります。修正プログラムは2026年4月14日の月例更新ですでに配布済みです。4月以降のWindows Updateを当てているなら、この穴はもう塞がっています。問題になるのは、更新を止めている端末と、社外から直接つながるVPNサーバーです。

IKEとは何か。Windowsに最初から入っている

IKE（アイク、Internet Key Exchange）は、暗号化した通信路をつくるときに、両者が使う「鍵」を安全に取り決めるための手順です。社外から社内ネットワークにつなぐVPNや、拠点間を専用線のように結ぶIPsecという仕組みで使われています。ヤマハやFortiGateのルーターとWindowsをVPNでつなぐ構成を組んだことがあるなら、設定画面で「IKEv2」という項目を見たはずです。

Windowsではこの処理を「IKE and AuthIP IPsec Keying Modules」（サービス名 IKEEXT）というサービスが担当しています。追加でインストールするものではなく、Windows 10にもWindows Serverにも最初から入っています。起動の種類は「手動（トリガー開始）」で、必要になったときに動き出す作りです。実行アカウントはLocalSystem、つまりコンピューターの中で最も強い権限です。通信にはUDPの500番と、機器の変換をまたぐとき用の4500番を使います。

今回の欠陥は、このIKEEXTが受け取ったデータを処理する部分にあります。種類は「二重解放」（CWE-415、ダブルフリー）。使い終わったメモリー領域を返却する処理が二回走ってしまい、その隙に攻撃者が用意したデータを差し込まれると、そのまま命令として実行されてしまう、という古典的な型です。IKEEXTはLocalSystemで動いているため、成立すればコンピューター全体を取られます。

仕組みをもう一段だけ掘ると、Zero Day Initiativeの解析では、分割して届いたIKEv2のデータを組み立て直す処理でメモリーの持ち主が二重になることが原因だとされています。攻撃者は特定の識別子を付けた接続要求を送り、続けて壊れた分割データを2つ以上送りつければ成立します。同解析はこの脆弱性を「wormable」（自分で増殖して他の機器へ広がりうる）と評価しました。発見・報告はMicrosoft社内のWARP & MORSEチームです。

CVE-2026-33824: ログインなしで送りつけたデータが命令として動く

Microsoftが公開している想定問答には、成立の条件がはっきり書かれています。「認証されていない攻撃者が、IKEバージョン2が有効になっているWindowsマシンに細工したパケットを送ることで、遠隔からのコード実行につながる可能性がある」。つまり、IKEv2を使っていない端末は、IKEEXTサービスが動いていても直ちに狙われる対象にはなりません。ここが今回の重さを決める分かれ目です。

影響を受けるWindowsと、修正が入ったKB番号の一覧

Microsoftのセキュリティ更新情報に載っている一覧です。「直ったビルド番号」は、その番号以上なら対処済みという意味です。winver と入力すると自分の端末のビルド番号を確認できます。

32ビット版・ARM64版も同じKB番号です。Server Coreでインストールした環境も同様に対象に入ります。Windows Server 2012 R2以前は一覧に含まれていません。

自分の環境が対象かを確認する

見るべきものは3つです。順に確認すれば、慌てるべき環境かどうかが判断できます。

1. Windowsのビルド番号。PowerShellで次のように打つと、上の表と突き合わせられます。

[System.Environment]::OSVersion.Version

2. IKEEXTサービスの状態。既定は「手動（トリガー開始）」なので、止まっていても異常ではありません。

Get-Service IKEEXT | Format-List Name, Status, StartType

3. UDPの500番・4500番が外から届く状態か。ここが実際の危険度を決めます。サービスが動いていても、社外からそのポートに届かないなら、外部から直接狙われることはありません。

Get-NetUDPEndpoint -LocalPort 500, 4500 -ErrorAction SilentlyContinue

優先度をつけるなら、こうなります。

IKEEXTサービスは止めてしまっていいのか

「使っていないなら止めればいい」と考えたくなりますが、Microsoftはこの脆弱性の回避策としてサービスの停止を挙げていません。挙げているのは、あとで説明するポート遮断のほうです。

理由は副作用です。IKEEXTを止めると、IKEv2やL2TP/IPsecのVPNがつながらなくなるのはもちろん、Windowsファイアウォールの「接続セキュリティ規則」でIPsecを使った通信制御を組んでいる場合、その規則も機能しなくなります。ドメイン分離やサーバー分離を設定している環境では、社内の通信そのものが止まります。止める前に、IPsecを使った規則が入っていないかを確認してください。

Get-NetIPsecRule -PolicyStore ActiveStore | Select-Object DisplayName, Enabled

何も返ってこないなら、IPsecの規則は使われていません。それでも、月例更新を当てれば済む話に対してサービス停止という副作用の大きい手を打つ意味は薄いです。更新できない事情があるときの一時しのぎと考えるのが妥当です。

すぐに更新できないときの回避策

Microsoftは2026年8月20日、この脆弱性の情報に緩和策の説明を追記しました。KEV追加の2日後です。内容は次の2つで、環境に応じてどちらかを選ぶ形になっています。

Windowsファイアウォールで受信を止める場合は次のようになります。VPNサーバーで実行すると接続できなくなるので、対象を間違えないでください。

New-NetFirewallRule -DisplayName "Block IKE inbound" -Direction Inbound `
  -Protocol UDP -LocalPort 500,4500 -Action Block

拠点間VPNのように相手が決まっている構成なら、遮断ではなく接続元アドレスの限定のほうが現実的です。ルーターやクラウドのセキュリティグループ側で絞るほうが確実な場合もあります。

攻撃されているのか。CISAとMicrosoftで見解が割れている

ここが今回いちばん判断の難しいところです。米政府とメーカーの言っていることが揃っていません。

Microsoftの脆弱性情報は、本記事の執筆時点でも「公表済み: いいえ / 悪用: いいえ / 悪用の可能性: 低い」という4月の評価のままです。8月20日の改訂も「緩和策に説明を追加した情報上の変更のみ」と書かれており、悪用の判定は変わっていません。

一方でCISAは、KEVに載せる条件を「実際に悪用された証拠があること」としており、8月18日に追加したうえで連邦政府機関の対処期限を3日後の8月21日に設定しています。3日というのは短い部類です。

根拠になっているとみられるのが、Palo Alto Networksの調査部門Unit 42が2026年7月30日に公開した報告です。中国語話者とみられる攻撃グループが460以上の標的に攻撃を試みた活動を追ったもので、その中に3台のIKE VPN機器に対して、外部へ折り返し接続させる仕掛けを送り込もうとした試みが含まれていたとしています。この報告で目を引くのはAIに自動で標的を探させていた点ですが、CVE-2026-33824を使った部分については人の手による操作だったと整理されています。

そして重要な但し書きがあります。Unit 42は、この3台への試みは成功しなかったとしています。同じ報告の中で、Citrix NetScalerや別のツールでは侵入に成功した事例が挙げられているのと対照的です。つまり現時点で公になっている唯一の悪用の記録は、失敗した試みです。

Microsoft自身も、この件を報じたBleepingComputerの取材に「2026年4月のセキュリティ更新で対処済みであり、適用を推奨する」と答えるにとどめ、悪用の有無には触れていません。実証コードが公開されているという情報も、執筆時点では確認できません。Microsoftの評価にある「E:U」は、動く実証コードが未確認という意味です。

それでも、狙う相手を探している側がこの番号を手札に持っていることは分かります。実際に攻撃される確率を予測するEPSSという指標では、8月19日時点で0.78（上位に入る水準）が付いています。KEVに入った脆弱性の一覧と対処の考え方はCISA KEV ダッシュボード（日本語版）にまとめています。

国内では注意喚起が出ていない

日本語で情報を探している担当者にとって、もう一つ確認しておきたい事実があります。JPCERT/CCとIPAの月例更新に関する注意喚起、およびJVN iPediaのいずれにも、CVE-2026-33824は載っていません。

これは「国内では危なくない」という意味ではありません。両機関の月例注意喚起はその月に悪用が確認されているものを名指しする方針で、4月時点のCVE-2026-33824はその条件に当たらなかった、というだけです。8月にKEVへ入ったことは、日本語の公的な注意喚起には反映されていません。米国のKEVを自分で見ていないと、この件は日本語の情報源だけでは拾えません。

何をすればいいか

やることは多くありません。上から順に確認してください。

この脆弱性のややこしさは、危険度の数字と実際の危なさが一致しないところにあります。9.8という数字は「ログイン不要でネットワーク越しに全部取られる」という最悪の条件を表していますが、成立にはIKEv2が有効で、そのポートに攻撃者が届く必要があります。数字ではなく、外から届くかどうかで並べ替えるのが妥当です。

参照元

• Microsoft セキュリティ更新プログラムガイド: CVE-2026-33824
• NVD: CVE-2026-33824
• CISA Known Exploited Vulnerabilities Catalog
• Unit 42: AIを用いた自動化された攻撃キャンペーンの分析（2026年7月30日）
• Zero Day Initiative: CVE-2026-33824 の技術解析（2026年4月23日）
• BleepingComputer: CISA、Windows IKEの脆弱性が攻撃に使われたと発表（2026年8月19日）
• Richard M. Hicks: Always On VPN における IKEv2 脆弱性の影響（2026年4月14日）
• JPCERT/CC: 2026年8月マイクロソフト製品のセキュリティ更新プログラムに関する注意喚起