Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) warnte vor der aktiven Ausnutzung einer kritischen Schwachstelle zur Remotecodeausführung in der Windows-Komponente Internet Key Exchange (IKE) Service Extensions. Die Schwachstelle trägt die Kennung CVE-2026-33824 und betrifft alle unterstützten Versionen von Windows 10, Windows 11 und Windows Server.
Die Schwachstelle ermöglicht es einem nicht autorisierten Angreifer, durch das Senden bösartiger Netzwerkpakete an ein Gerät, auf dem die zweite Version des IKE-Protokolls ausgeführt wird, Code auf einem nicht aktualisierten System auszuführen. Dafür sind weder ein Konto noch vorherige Berechtigungen erforderlich, da die Schwachstelle über die UDP-Ports 500 oder 4500 ausgenutzt werden kann, die üblicherweise für IKE-Verbindungen verwendet werden.
Was ist die Ursache des Fehlers?
Microsoft führt die Schwachstelle auf einen Double Free-Fehler in der Windows-IKE-Erweiterung zurück. Laut der im Rahmen der Sicherheitsupdates vom April 2026 veröffentlichten Anleitung des Unternehmens kann ein nicht authentifizierter Angreifer speziell präparierte Pakete an ein Gerät senden, das IKE in der zweiten Version verwendet, was zur Remotecodeausführung führen kann.
MS-IKEE umfasst eine Reihe zusätzlicher Funktionen, die Microsoft dem IKE-Protokoll hinzugefügt hat. Dazu gehören die Authentifizierung mithilfe kryptografisch erzeugter Adressen, der Schutz vor Denial-of-Service-Angriffen sowie eine verbesserte Interoperabilität mit Parteien, die das Internet Protocol Security (IPsec)-Protokoll nicht unterstützen.
Maßnahme von CISA und festgelegte Frist
CISA nahm die Schwachstelle in ihren Katalog der aktiv ausgenutzten Schwachstellen auf und wies die US-Bundesbehörden der zivilen Exekutive an, ihre Geräte innerhalb von drei Tagen abzusichern. Grundlage dafür ist die verbindliche operative Richtlinie BOD 26-04. Die Behörde erklärte, dass diese Art von Schwachstellen einen wiederkehrenden Angriffsweg darstelle und erhebliche Risiken für die föderale Umgebung bergen könne.
Die verbindliche Richtlinie gilt nicht unmittelbar für Organisationen außerhalb der US-Regierung. CISA rief jedoch alle für den Netzwerkschutz Verantwortlichen dazu auf, die Aktualisierung gegen CVE-2026-33824 zu priorisieren, um laufende Angriffe zu verhindern. Microsoft hat seine Anleitung bislang nicht aktualisiert, um auf die aktive Ausnutzung hinzuweisen, und beim Kontakt durch BleepingComputer keine weiteren Angaben zu den Angriffen gemacht.
Was ändert sich in der Praxis für Sicherheitsteams?
Priorität hat die Installation des Sicherheitsupdates, das die Schwachstelle behebt. Falls dies nicht sofort möglich ist, empfiehlt Microsoft, eingehenden Datenverkehr über UDP 500 und UDP 4500 auf Systemen zu blockieren, die IKE nicht verwenden. Bei Systemen, die darauf angewiesen sind, können eingehende Verbindungen mithilfe von Firewallregeln eingeschränkt werden, die sie nur von bekannten Peer-Adressen zulassen.
Die Warnung ist Teil einer Reihe von CISA-Hinweisen zu in freier Wildbahn ausgenutzten Microsoft-Schwachstellen. Seit November 2021 hat die Behörde 385 ausgenutzte Schwachstellen in Microsoft-Produkten aufgenommen; 112 davon wurden auch von Ransomware-Gruppen verwendet. Kürzlich bestätigte sie außerdem die Ausnutzung einer Schwachstelle im Windows Task Host im Rahmen von Ransomware-Angriffen und warnte vor der Nutzung einer Schwachstelle zur Remotecodeausführung in Microsoft SharePoint bei Angriffen, deren erste Ausnutzungsindikatoren Anfang Juli auftraten.