CISA bestätigt aktive Angriffe auf kritische Windows-IKE-Lücke, gibt Behörden 3 Tage zum Patchen

Eine kritische Remote-Code-Execution-Schwachstelle in den Windows Internet Key Exchange (IKE) Service Extensions wird laut der US-Cybersicherheitsbehörde CISA aktiv in freier Wildbahn ausgenutzt. CISA fügte die Schwachstelle, verfolgt als CVE-2026-33824, am 18. August ihrem Katalog bekannter ausgenutzter Schwachstellen hinzu und gab US-Bundesbehörden nur drei Tage — bis zum 21. August — Zeit, um unter der verbindlichen operativen Direktive 26-04 Abhilfemaßnahmen umzusetzen.

Die Schwachstelle betrifft jede derzeit unterstützte Version von Windows 10, Windows 11 und Windows Server und macht sie damit zu einer der am weitesten reichenden Windows-Schwachstellen, die dieses Jahr offengelegt wurden.

Wie der Angriff funktioniert

CVE-2026-33824 ist ein Double-Free-Speicherfehler in den IKE Service Extensions (MS-IKEE), der Komponente, die Windows zum Aushandeln von IPsec-VPN-Verbindungen verwendet. Ein nicht authentifizierter Angreifer kann speziell gestaltete Pakete an die UDP-Ports 500 oder 4500 senden — die Standardports, die IKE für die VPN-Aushandlung nutzt —, um die Double-Free-Bedingung auszulösen und beliebigen Code mit den Rechten des betroffenen Dienstes auszuführen. Weder Anmeldedaten noch Benutzerinteraktion sind erforderlich, und die Schwachstelle ist remote über das Netzwerk ausnutzbar.

Wer hinter den Angriffen steckt

Laut Sicherheitsforschern war die Ausnutzung bisher gezielt und begrenzt, kein Massenscanning. Die Unit 42 von Palo Alto Networks beobachtete einen chinesischsprachigen Bedrohungsakteur, der manuell Reverse-Shell-Callbacks an drei IKE-VPN-Endpunkte mit diesem Exploit sendete — ein Muster, das eher zu gezieltem, manuellem Eindringen passt als zu automatisierten, opportunistischen Angriffen. Bemerkenswert ist, dass Microsoft seine eigene Empfehlung zu dem Zeitpunkt, als CISA die Schwachstelle in ihren Katalog aufnahm, noch nicht aktualisiert hatte, um die aktive Ausnutzung widerzuspiegeln — eine ungewöhnliche Lücke zwischen Hersteller- und Regierungs-Bedrohungsinformationen.

Was Administratoren jetzt tun müssen

CISAs Anweisung ist eindeutig: das Sicherheitsupdate von Microsoft sofort einspielen. Bei Systemen, die keine IKE-basierte VPN-Konnektivität nutzen, sollten Administratoren die eingehenden UDP-Ports 500 und 4500 vollständig blockieren. Wo IKE erforderlich ist — für Site-to-Site- oder Remote-Access-VPNs — sollten Firewall-Regeln verschärft werden, um Datenverkehr nur von bekannten, vertrauenswürdigen Peer-Adressen zu akzeptieren, statt die Ports offen ins Internet zu lassen.

Da jedes Windows-System, das IKE nicht vertrauenswürdigen Netzwerken aussetzt, ein realistisches Ziel darstellt, beschränkt sich die Gefährdung nicht auf Bundesbehörden — dieselbe von CISAs Direktive implizierte Dreitagesfrist gilt für jede Organisation, die VPN-Gateways auf betroffenen Windows-Versionen betreibt.

Teil eines ungewöhnlich arbeitsreichen Patch-Zyklus

Diese Offenlegung folgt auf Microsofts August-2026-Patch-Tuesday, der rund 400 Fehler behob, darunter mehrere Zero-Days — und fällt in dieselbe Woche, in der Sicherheitsforscher separat einen Defender-Privilegienerweiterungs-Bypass namens ShieldBreak offenlegten. Die Häufung von hochgradig schweren, aktiv ausgenutzten Windows-Bugs in diesem Monat unterstreicht, warum CISAs Katalog bekannter ausgenutzter Schwachstellen existiert: Patch-Priorisierung ist wichtiger als Patch-Volumen, wenn mehrere kritische Probleme im selben Zeitfenster auftreten.

Wie von BleepingComputer berichtet, wurde CVE-2026-33824 am 18. August 2026 in CISAs Katalog aufgenommen, mit einer für Bundesbehörden erforderlichen Behebung bis zum 21. August.