CVE-2026-33824
Microsoft Internet Key Exchange (IKE) Service Extensions Double Free Vulnerability
Beschreibung
CVE-2026-33824 ist eine kritische Double-Free-Schwachstelle in den Windows Internet Key Exchange (IKE) Service Extensions, die einem nicht authentifizierten, entfernten Angreifer die Ausführung beliebigen Codes über das Netzwerk ermöglicht. Betroffen ist eine breite Palette von Microsoft-Windows-Versionen, von Windows 10 und Windows Server 2016 bis hin zu Windows 11 und Windows Server 2025. Da die Ausnutzung weder Privilegien noch Benutzerinteraktion erfordert, kann ein Angreifer, der den IKE-Dienst erreicht, potenziell die vollständige Kontrolle über das betroffene System übernehmen. Mit einem CVSS-Wert von 9.8 und der Aufnahme in den Known-Exploited-Vulnerabilities-Katalog (KEV) der CISA stellt CVE-2026-33824 eine dringende Patch-Priorität für jede Organisation dar, die Windows-Systeme mit exponierten IKE/IPsec-Diensten betreibt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1607 | < 10.0.14393.9060 |
| microsoft | windows 10 1809 | < 10.0.17763.8644 |
| microsoft | windows 10 21h2 | < 10.0.19044.7184 |
| microsoft | windows 10 22h2 | < 10.0.19045.7184 |
| microsoft | windows 11 23h2 | < 10.0.22631.6936 |
| microsoft | windows 11 24h2 | < 10.0.26100.8246 |
| microsoft | windows 11 25h2 | < 10.0.26200.8246 |
| microsoft | windows 11 26h1 | < 10.0.28000.1836 |
| microsoft | windows server 2016 | < 10.0.14393.9060 |
| microsoft | windows server 2019 | < 10.0.17763.8644 |
| microsoft | windows server 2022 | < 10.0.20348.5020 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.2274 |
| microsoft | windows server 2025 | < 10.0.26100.32690 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33824(Vendor Advisory)
- https://unit42.paloaltonetworks.com/autonomous-ai-cyber-attack-campaign/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-33824(US Government Resource)
Schwachstellentyp
CWE-415: Doppelte Freigabe
Eine doppelte Freigabe tritt auf, wenn ein Programm free() auf dieselbe Speicheradresse zweimal aufruft, wodurch die internen Datenstrukturen des Speicherallokators beschädigt werden und potenziell die Ausführung beliebigen Codes möglich wird. Bei CVE-2026-33824 zeigt sich diese Schwäche in den Windows IKE Service Extensions, wo ein zur Verarbeitung von Schlüsselaustausch-Verkehr gehörender Speicherbereich mehr als einmal freigegeben wird, sodass ein Angreifer Heap-Metadaten beschädigen und den Ausführungsfluss übernehmen kann.
Mehr erfahren: CWE-415 — Doppelte Freigabe
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-33824 sind gravierend: Da der Angriffsvektor netzwerkbasiert ist, ist die Schwachstelle aus der Ferne ohne physischen Zugriff ausnutzbar, und bei niedriger Angriffskomplexität lässt sie sich ohne besondere Voraussetzungen auslösen. Es sind keine Privilegien und keine Benutzerinteraktion erforderlich, das heißt ein Angreifer benötigt weder Authentifizierung noch die Mithilfe eines Opfers. Eine erfolgreiche Ausnutzung führt zu hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit und gibt dem Angreifer die Möglichkeit, sensible Daten zu lesen, das System zu manipulieren und den Betrieb zu stören — faktisch die vollständige Kompromittierung des betroffenen Windows-Hosts. Mit der Einstufung CVSS 9.8 (kritisch) und einem EPSS-Wert von rund 78 % (99. Perzentil) besteht bei CVE-2026-33824 eine hohe Wahrscheinlichkeit aktiver Ausnutzung, was mit der Aufnahme in den CISA-KEV-Katalog übereinstimmt.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-33824 durch die Aufnahme in den Known-Exploited-Vulnerabilities-Katalog bestätigt, sodass Organisationen dies als reale Bedrohung mit sofortigem Handlungsbedarf behandeln sollten. Der EPSS-Wert von etwa 78 % (99. Perzentil) weist auf eine sehr hohe Wahrscheinlichkeit von Ausnutzungsaktivität hin und unterstreicht die Dringlichkeit des Patchens. Zwar ist das KEV-Ransomware-Kennzeichen derzeit „Unknown", doch die Kombination aus einer nicht authentifizierten, über das Netzwerk erreichbaren Codeausführungslücke und ihrem nahezu höchsten EPSS-Rang macht sie zu einem attraktiven Ziel für ein breites Spektrum von Angreifern. Unter den Referenzen ist kein dedizierter öffentlicher Exploit-Link aufgeführt, doch angesichts des bestätigten Ausnutzungsstatus sollten Verteidiger davon ausgehen, dass funktionierende Exploit-Techniken existieren, und die Behebung entsprechend priorisieren.
Behebung
- Installieren Sie das Microsoft-Sicherheitsupdate umgehend. Gemäß der KEV-Handlungsanweisung der CISA sind Maßnahmen entsprechend den Herstelleranweisungen und der BOD-26-04-Vorgabe umzusetzen; sind keine Gegenmaßnahmen verfügbar, ist die Nutzung des betroffenen Produkts einzustellen.
- Installieren Sie den korrigierten Build für Ihre konkrete Windows-Version. Aktualisieren Sie mindestens auf die von Microsoft angegebenen gepatchten Builds, zum Beispiel Windows 11 24H2 Build 10.0.26100.8246, Windows Server 2025 Build 10.0.26100.32690, Windows Server 2022 Build 10.0.20348.5020 oder den entsprechenden gepatchten Build für Windows 10 und Server 2016/2019.
- Begrenzen Sie die Netzwerkexposition des IKE/IPsec-Dienstes. Beschränken Sie bis zum Abschluss des Patchens den Zugriff auf die von IKE genutzten UDP-Ports (typischerweise 500/4500) durch Firewall-Regeln und Netzwerksegmentierung, sodass nur vertrauenswürdige Gegenstellen den Dienst erreichen.
- Überwachen Sie auf Anzeichen einer Ausnutzung. Prüfen Sie IKE/IPsec- und Systemprotokolle auf unerwartete Dienstabstürze oder Neustarts, die auf Double-Free-Ausnutzungsversuche hindeuten können, und achten Sie auf anomalen eingehenden Schlüsselaustausch-Verkehr.
- Reduzieren Sie langfristig die Angriffsfläche für Speicherfehler, indem Sie das zeitnahe Patchen netzwerkexponierter Betriebssystemkomponenten priorisieren und die Internet-Exposition von VPN- und IPsec-Endpunkten verringern.
Technische Details
CVE-2026-33824 beruht auf einer doppelten Freigabe (CWE-415) in den Windows IKE Service Extensions: Wird Speicher freigegeben, gibt der Allokator ihn an eine Freiliste zurück, und ein zweites Freigeben derselben Adresse beschädigt diese Liste. Nachfolgende Allokationen können denselben Speicher dann an verschiedene Programmteile vergeben oder es einem Angreifer erlauben, Heap-Metadaten zu manipulieren, um Codeausführung zu erlangen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H zeigt, dass die Schwachstelle über das Netzwerk mit niedriger Komplexität und ohne Authentifizierung oder Benutzerinteraktion erreichbar ist, weshalb ein nicht authentifizierter, entfernter Angreifer den fehlerhaften Freigabepfad allein durch das Senden präparierten Schlüsselaustausch-Verkehrs an den exponierten IKE-Dienst auslösen kann. Da die Korruption innerhalb einer zentralen Windows-Netzwerkkomponente auftritt, kann gezieltes Heap-Grooming den Zustand von einem Dienstabsturz zu vollständiger beliebiger Codeausführung mit Systemauswirkungen eskalieren.
Häufig gestellte Fragen
Wird CVE-2026-33824 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-33824 in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Wert von etwa 78 % (99. Perzentil) deutet zusätzlich auf eine sehr hohe Wahrscheinlichkeit laufender Ausnutzungsaktivität hin.
Welche Produkte sind von CVE-2026-33824 betroffen?
Die Schwachstelle betrifft die Windows IKE Service Extensions über eine breite Palette von Microsoft-Windows-Versionen, darunter Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1) sowie Windows Server 2016, 2019, 2022, 2022 23H2 und 2025. Jede Edition wird in einem spezifischen, von Microsoft veröffentlichten gepatchten Build behoben.
Wie behebe ich CVE-2026-33824?
Installieren Sie das Sicherheitsupdate von Microsoft für Ihre Windows-Version, um den korrigierten Build zu erreichen, und folgen Sie der KEV-Vorgabe der CISA gemäß BOD 26-04. Beschränken Sie bis zum Patchen den Zugriff auf den IKE/IPsec-Dienst über Firewall-Regeln und Netzwerksegmentierung und überwachen Sie auf unerwartete Dienstabstürze.
Wie schwerwiegend ist CVE-2026-33824?
Sie ist kritisch, mit einem CVSS-3.1-Basiswert von 9.8. Die Schwachstelle ist nicht authentifiziert, über das Netzwerk ausnutzbar und erfordert keine Benutzerinteraktion, bei gleichzeitig hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit; ihr EPSS-Wert liegt im 99. Perzentil — was sie zu einer der am höchsten zu priorisierenden Schwachstellen macht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.