Votre patch VPN d'avril est déjà exploité

Ce que la CISA a confirmé le 18 août

La CISA a ajouté CVE-2026-33824 à son catalogue des Known Exploited Vulnerabilities le 18 août 2026, confirmant qu'une vulnérabilité double-free dans les IKE Service Extensions de Windows, le composant qui gère les connexions VPN IKEv2/IPsec, est activement exploitée. La faille atteint un score CVSS de 9,8 sur 10 et ne requiert aucune authentification, si bien qu'un attaquant disposant d'un accès réseau peut la déclencher sans mot de passe, sans certificat et sans point d'appui préalable.

La vulnérabilité touche les ports UDP 500 et 4500, ceux qu'IKEv2/IPsec utilise pour négocier et maintenir un tunnel VPN, et elle frappe toute version prise en charge de Windows Server, Windows 10 et Windows 11 dont le VPN IKEv2/IPsec est exposé sur internet. L'alerte de la CISA est arrivée dans un lot de quatre CVE incluant aussi une faille de partage d'écran sur macOS et un bug de path traversal dans VMware vCenter, mais la faille IKE de Windows présente l'exposition la plus nette des quatre, et la CISA a fixé au 21 août 2026 le délai de remédiation pour les agences fédérales américaines, un délai déjà dépassé au moment de la clôture de cet article.

Comment Unit 42 a repéré les connexions retour

Unit 42, la division de renseignement sur les menaces de Palo Alto Networks, a rapporté avoir observé un acteur sinophone envoyer des connexions reverse-shell pilotées manuellement, en temps réel, depuis trois points d'accès VPN IKE distincts. Une reverse shell compose vers l'extérieur, depuis la machine compromise vers l'infrastructure de l'attaquant, au lieu d'attendre une connexion entrante, et c'est précisément pour cela qu'elle survit aux règles de pare-feu orientées vers le trafic entrant sur lesquelles repose la plupart de la sécurité périmétrique ; le serveur VPN compromis ressemble, pour beaucoup de systèmes de surveillance, à un serveur qui ouvre simplement une connexion sortante de sa propre initiative.

Une activité pilotée à la main signifie qu'un opérateur humain saisissait des commandes de façon interactive via la shell plutôt que de faire tourner un script entièrement automatisé, un niveau d'effort qui indique que la cible méritait une attention directe plutôt qu'un balayage massif et indiscriminé. BleepingComputer, la base de données CVE de SentinelOne et la Zero Day Initiative ont chacun corroboré les détails techniques essentiels depuis l'alerte de la CISA, et l'article de gbhackers.com sur les travaux d'Unit 42 ajoute le détail de la reverse shell qui transforme une faille double-free générique en une intrusion documentée et toujours en cours.

Corrigée en avril n'est pas la même affirmation que sûre aujourd'hui

Microsoft a publié un correctif pour CVE-2026-33824 en avril 2026, cinq mois pleins avant que la CISA ne confirme l'exploitation active et n'ajoute la faille à son catalogue KEV. Cet écart temporel est l'histoire qui se cache derrière l'actualité : qu'un patch existe depuis avril indique que Microsoft a fait sa part, mais ne dit rien sur le fait que chaque concentrateur VPN exposé sur internet d'une organisation l'a réellement reçu, et dit encore moins sur le fait que quelqu'un surveillait ces points d'accès à la recherche du trafic sortant de reverse shell qu'Unit 42 a découvert.

"Nous avons corrigé il y a des mois" et "nous sommes en sécurité aujourd'hui" sont deux affirmations distinctes, pas une seule, et les traiter comme interchangeables est exactement ce qui permet à un correctif vieux de cinq mois de se retrouver à côté d'une intrusion active et pilotée à la main. Un concentrateur VPN est un retardataire naturel du patching : il est souvent géré par l'équipe réseau plutôt que par l'équipe de patching des postes, il échappe aux scans de vulnérabilités habituels conçus pour des cycles de mise à jour de type poste de travail, et il ne peut pas toujours être redémarré sur une nouvelle version sans une fenêtre de maintenance planifiée qui entre en concurrence avec les engagements de disponibilité. La segmentation qui limite ce qu'un serveur VPN compromis peut atteindre, et la surveillance qui signale un trafic sortant anormal depuis ce serveur, sont les deux contrôles qui rattrapent ce que "le patch est sorti en avril" ne rattrape pas seul.

Ce qu'il faut vérifier cette semaine

Les équipes IT et sécurité doivent confirmer le patch plutôt que de le supposer : elles doivent vérifier que chaque système Windows Server, Windows 10 ou Windows 11 avec VPN IKEv2/IPsec activé et accessible depuis internet a bien reçu la mise à jour de Microsoft d'avril 2026, et pas seulement que la mise à jour figure au catalogue. Une passerelle VPN mise en service ou réinstallée après la sortie du patch, ou une passerelle gérée par un tiers, est exactement le genre d'instance qui échappe discrètement à un déploiement que tout le monde suppose complet.

Elles doivent ensuite vérifier ce qui se passe une fois le patch confirmé : si le trafic UDP 500/4500 vers ce concentrateur est segmenté du reste du réseau afin qu'une seule passerelle compromise ne devienne pas un chemin vers tout ce qui se trouve derrière, et si les connexions sortantes du serveur VPN lui-même sont surveillées pour détecter le type de connexion reverse-shell documenté par Unit 42. C'est exactement le profil que le catalogue KEV de la CISA existe pour signaler, et le même profil que des agences nationales comme l'ANSSI en France traitent comme un terrain de priorité absolue pour tout opérateur exploitant une infrastructure VPN exposée sur internet.

À lire ensuite: 9,8 CVSS : la faille VNC de macOS mine du Monero  |  Une Chaîne de Deux Appels a Livré le Root à 295 Attaquants