Celah RCE Kritis Windows IKE Extension Kini Aktif Dieksploitasi
Cybersecurity and Infrastructure Security Agency (CISA) memperingatkan bahwa hacker kini secara aktif mengeksploitasi kerentanan remote code execution (RCE) kritis pada komponen Windows Internet Key Exchange (IKE) Service Extensions.
Kerentanan yang dilacak sebagai CVE-2026-33824 tersebut dapat memungkinkan attacker yang tidak memiliki hak akses untuk menjalankan kode secara remote pada sistem Windows yang belum mendapatkan security update.
Celah ini berdampak pada seluruh versi Windows 10, Windows 11, dan Windows Server yang masih didukung.
Serangan Dapat Dilakukan Melalui Paket Berbahaya
Windows Internet Key Exchange Service Extensions, yang juga dikenal sebagai MS-IKEE, merupakan sekumpulan kemampuan tambahan yang Microsoft tambahkan pada IKE Protocol.
Komponen tersebut antara lain menyediakan dukungan authentication menggunakan cryptographically generated addresses (CGAs), perlindungan terhadap denial-of-service, serta peningkatan interoperability dengan perangkat yang tidak mendukung Internet Protocol Security (IPsec).
CVE-2026-33824 merupakan vulnerability jenis double free yang dapat dimanfaatkan oleh attacker untuk menjalankan kode melalui jaringan.
Microsoft menjelaskan bahwa attacker yang tidak terautentikasi dapat mengirim paket yang telah dimodifikasi secara khusus ke komputer Windows dengan Internet Key Exchange versi 2 yang aktif.
Jika sistem belum mendapatkan patch, pemrosesan paket tersebut dapat memungkinkan attacker memperoleh kemampuan menjalankan kode secara remote.
Port UDP 500 dan 4500 Menjadi Jalur Serangan
Salah satu aspek yang membuat vulnerability ini cukup berbahaya adalah serangan dapat dilakukan melalui jaringan tanpa membutuhkan authentication maupun privileges pada sistem target.
Paket berbahaya dapat dikirim melalui UDP port 500 atau 4500, yang digunakan dalam komunikasi IKE.
Microsoft sebelumnya telah memperbaiki CVE-2026-33824 melalui security update pada April 2026. Namun, sistem yang belum diperbarui masih berpotensi menjadi target serangan.
Untuk organisasi yang belum dapat segera memasang patch, Microsoft merekomendasikan agar inbound traffic melalui UDP port 500 dan 4500 diblokir pada sistem yang tidak menggunakan IKE.
Jika IKE memang diperlukan, firewall dapat dikonfigurasi agar hanya mengizinkan inbound traffic dari alamat peer yang telah dikenal.
CISA Memastikan Eksploitasi Aktif
Meskipun advisory Microsoft belum diperbarui untuk secara eksplisit menyatakan bahwa CVE-2026-33824 telah dieksploitasi di dunia nyata, CISA telah memasukkan vulnerability tersebut ke dalam Known Exploited Vulnerabilities (KEV) Catalog.
CISA menambahkan CVE-2026-33824 pada 18 Agustus 2026 dan memberikan batas waktu hanya tiga hari kepada lembaga Federal Civilian Executive Branch (FCEB) untuk mengamankan perangkat yang terdampak.
Batas waktu tersebut mengikuti ketentuan Binding Operational Directive 26-04 yang mewajibkan lembaga pemerintah federal mengambil tindakan terhadap vulnerability yang telah diketahui dieksploitasi.
CISA juga menegaskan bahwa meskipun kewajiban tersebut hanya berlaku bagi lembaga pemerintah yang berada dalam cakupan BOD 26-04, seluruh network defenders sebaiknya memprioritaskan patching karena serangan terhadap vulnerability tersebut sedang berlangsung.
Microsoft Belum Mengungkap Detail Serangan
Hingga saat ini, Microsoft belum memberikan informasi mengenai siapa yang berada di balik eksploitasi CVE-2026-33824 maupun bagaimana vulnerability tersebut digunakan dalam serangan.
CISA juga menyatakan belum memiliki informasi tambahan yang dapat dibagikan mengenai serangan yang sedang berlangsung.
Kurangnya detail mengenai threat actor tidak mengurangi tingkat risikonya. Status vulnerability yang sudah masuk KEV menunjukkan bahwa exploit tersebut telah diamati digunakan dalam serangan nyata, sehingga sistem yang belum dipatch sebaiknya dianggap memiliki risiko tinggi.
Kembali Menambah Daftar Celah Microsoft yang Dieksploitasi
CVE-2026-33824 menjadi salah satu dari beberapa vulnerability Microsoft yang baru-baru ini dikonfirmasi telah dieksploitasi secara aktif.
Pada pekan yang sama, CISA juga mengonfirmasi bahwa kerentanan Windows Task Host sebelumnya telah dimanfaatkan oleh ransomware gangs. Selain itu, operasi ransomware juga telah mulai mengeksploitasi vulnerability RCE pada Microsoft SharePoint.
Rangkaian insiden tersebut menunjukkan bahwa attacker terus memanfaatkan vulnerability Microsoft yang telah tersedia patch-nya tetapi belum diterapkan pada seluruh sistem.
Sejak November 2021, CISA telah memasukkan 385 vulnerability pada berbagai produk Microsoft ke dalam daftar vulnerability yang diketahui aktif dieksploitasi. Dari jumlah tersebut, 112 vulnerability juga diketahui telah dimanfaatkan oleh ransomware gangs.
Administrator Diminta Segera Memasang Patch
Bagi organisasi yang menggunakan Windows 10, Windows 11, atau Windows Server yang masih didukung, penerapan security update untuk CVE-2026-33824 sebaiknya menjadi prioritas.
Jika patch belum dapat diterapkan segera, pembatasan inbound traffic pada UDP port 500 dan 4500 dapat digunakan sebagai langkah mitigasi, terutama pada sistem yang tidak membutuhkan IKE.
Sementara itu, lingkungan yang tetap menggunakan IKE perlu memastikan firewall hanya mengizinkan koneksi dari peer yang terpercaya.
Dengan vulnerability yang sudah masuk ke KEV Catalog dan diketahui aktif dieksploitasi, menunda patching dapat memberikan kesempatan bagi attacker untuk menyerang sistem Windows yang terhubung ke jaringan dan mengambil alih perangkat melalui remote code execution.
Sumber: [CISA]
