CISA warnt vor aktiver Ausnutzung einer kritischen RCE-Lücke in Windows IKE Extension

Betroffen ist die Windows Internet Key Exchange Service Extensions-Komponente, auch als MS-IKEE bekannt. Dabei handelt es sich um zusätzliche Funktionen, die Microsoft dem IKE-Protokoll hinzugefügt hat, darunter Authentifizierung über kryptografisch erzeugte Adressen, Schutz vor Denial-of-Service und eine leichtere Interoperabilität mit Kommunikationspartnern ohne IPsec-Unterstützung.

Microsoft beschreibt CVE-2026-33824 als kritische Schwachstelle zur Remotecodeausführung. In einem Sicherheitshinweis zum Patch Tuesday im April 2026 erklärte das Unternehmen, ein „Double free“ in Windows IKE Extension ermögliche es einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Weiter heißt es von Microsoft, ein nicht authentifizierter Angreifer könne speziell gestaltete Pakete an einen Windows-Rechner mit aktiviertem Internet Key Exchange Version 2 senden, was Remotecodeausführung ermöglichen könne.

Nach Angaben von Microsoft betrifft die Lücke alle unterstützten Releases von Windows 10, Windows 11 und Windows Server. Der Angriffsweg läuft über UDP-Port 500 oder 4500. Ausgenutzt werden kann die Schwachstelle demnach gegen ungepatchte Windows-Systeme, ohne dass der Angreifer zuvor Berechtigungen besitzen muss.

Für Umgebungen, in denen das Sicherheitsupdate für CVE-2026-33824 nicht sofort installiert werden kann, nennt Microsoft vorläufige Gegenmaßnahmen. Sicherheitsteams sollen eingehenden Datenverkehr über UDP 500 und 4500 auf Systemen blockieren, die IKE nicht verwenden. Wo IKE benötigt wird, empfiehlt Microsoft Firewall-Regeln, die eingehenden Verkehr nur von bekannten Gegenstellenadressen zulassen.

CISA stuft die Lage bereits als akute Ausnutzung ein. Die Behörde hat CVE-2026-33824 in ihren Katalog der aktiv ausgenutzten Schwachstellen aufgenommen und US-Behörden der Federal Civilian Executive Branch angewiesen, ihre Geräte innerhalb von drei Tagen abzusichern. Grundlage dafür ist die Binding Operational Directive 26-04. CISA warnte zudem, diese Art von Schwachstelle sei ein häufiger Angriffsvektor für böswillige Cyberakteure und berge erhebliche Risiken für den föderalen Bereich.

Obwohl die Vorgabe 26-04 nur für Regierungsbehörden gilt, ruft CISA alle Netzwerkverteidiger dazu auf, die Behebung von CVE-2026-33824 zu priorisieren, um die laufenden Angriffe zu unterbinden. Microsoft hat auf eine Anfrage nach weiteren Informationen zu den Angriffen nach Angaben des Quelltexts bislang nicht geantwortet. Ein Sprecher von CISA erklärte, die Behörde habe darüber hinaus nichts Weiteres mitzuteilen.

CISA hatte zuletzt mehrfach auf aktiv ausgenutzte Microsoft-Schwachstellen hingewiesen. Am Freitag bestätigte die Behörde zudem, dass eine bereits im April als aktiv ausgenutzt markierte Schwachstelle mit hohem Schweregrad in Windows Task Host nun auch in Ransomware-Angriffen missbraucht wird. Bereits in der vergangenen Woche warnte CISA außerdem, dass Ransomware-Operationen nach bestätigter Ausnutzung in freier Wildbahn Anfang Juli begonnen haben, eine SharePoint-RCE-Schwachstelle von Microsoft in Angriffen einzusetzen.

Seit November 2021 hat CISA nach eigenen Angaben 385 aktiv ausgenutzte Schwachstellen in verschiedenen Microsoft-Produkten markiert. 112 davon wurden auch von Ransomware-Gruppen ausgenutzt.