IKEv2-Pakete können Codeausführung auslösen

CVE-2026-33824 ist ein Double-Free-Fehler in den Windows Internet Key Exchange Service Extensions. Ein nicht authentifizierter Angreifer kann speziell präparierte Pakete an einen Windows-Rechner mit aktiviertem IKEv2 senden und darüber Code ausführen. Benutzerinteraktion oder ein vorhandenes Konto sind nicht erforderlich.

Microsoft bewertet die Schwachstelle als „Critical“ mit CVSS 9,8. Der Vektor ist vollständig netzwerkbasiert, die Angriffskomplexität niedrig und die möglichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. Relevant sind insbesondere Systeme, die IKE/IPsec für VPN-, Standort- oder Host-Verbindungen annehmen.

CISA nahm die CVE am 18. August 2026 in den KEV-Katalog auf. Die dort für US-Bundesbehörden gesetzte Frist endete am 21. August. Microsoft weist im eigenen Eintrag weiterhin „Exploited: No“ aus. Für die betriebliche Priorisierung sollte der KEV-Status als Nachweis bekannter Ausnutzung behandelt werden.

Aktuelle kumulative Updates enthalten die Korrektur

Microsoft hat die Lücke erstmals mit den Windows-Sicherheitsupdates vom 14. April 2026 geschlossen. Betroffen sind unterstützte Ausgaben von Windows 10 und Windows 11 sowie Windows Server 2016 bis 2025, einschließlich mehrerer Server-Core-Varianten. Da die Windows-Updates kumulativ sind, enthalten die aktuellen August-Updates die Korrektur ebenfalls.

Für verbreitete reguläre Wartungskanäle gelten unter anderem diese Mindeststände:

  • Windows 10: Version 1607 mit Build 14393.9418 (KB5120418), 1809 mit 17763.9121 (KB5120238), 21H2 mit 19044.7663 und 22H2 mit 19045.7663 (jeweils KB5120249).
  • Windows 11: 23H2 mit Build 22631.7517 (KB5120240), 24H2 mit 26100.9168 und 25H2 mit 26200.9168 (jeweils KB5121003), 26H1 mit 28000.2704 (KB5121000).
  • Windows Server: 2016 mit Build 14393.9418 (KB5120418), 2019 mit 17763.9121 (KB5120238), 2022 mit 20348.5499 (KB5120242) und 2025 mit 26100.33296 (KB5120233).

Hotpatch-, ESU- und abweichende Server-Core-Kanäle müssen gegen den jeweils gültigen Microsoft-Wartungsstand geprüft werden. Maßgeblich sind installierte KB, OS-Build und ein gegebenenfalls noch ausstehender Neustart.

UDP 500 und 4500 nur kontrolliert erreichbar lassen

Systeme mit erreichbarem IKEv2-Dienst sollten sofort aktualisiert werden. Falls das nicht möglich ist, nennt Microsoft seit der Präzisierung vom 20. August zwei Übergangsmaßnahmen:

  • Wird IKE nicht benötigt, eingehenden Verkehr auf UDP 500 und 4500 blockieren.
  • Wird IKE benötigt, eingehenden Verkehr auf diesen Ports ausschließlich von bekannten Peer-Adressen zulassen.

Die Regeln reduzieren die Angriffsfläche, ersetzen aber nicht das Sicherheitsupdate. Vor Änderungen ist zu klären, welche VPN- und IPsec-Verbindungen von den Freigaben abhängen. Bereits exponierte, verspätet aktualisierte Systeme sollten zusätzlich in die Incident-Triage aufgenommen werden.

Der unmittelbare Check: IKEv2-Nutzung und Erreichbarkeit inventarisieren, aktuelle Windows-Builds nachweisen und UDP 500/4500 bis zum Patch auf notwendige Peers begrenzen.