CVE-2026-33824: Windows-Lücke mit CVSS 9,8 wird aktiv ausgenutzt
Veröffentlicht am: 19.08.2026 um 18:11 Uhr | Redaktion boerse-global.de
Die US-Cybersicherheitsbehörde CISA hat am 18. August 2026 die kritische Schwachstelle CVE-2026-33824 in den Windows IKE Service Extensions in ihren Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, nachdem eine aktive Ausnutzung bestätigt wurde. Die Sicherheitslücke erhielt einen CVSS-Score von 9,8 und gilt damit als kritisch.
Betroffene Systeme und Angriffsweg
Nach Angaben von bleepingcomputer.com betrifft die Lücke sämtliche unterstützten Windows-10- und Windows-11-Versionen sowie Windows Server. Angreifer können demnach ohne vorherige Privilegien beliebigen Code ausführen, indem sie die Ports UDP 500 und UDP 4500 ansteuern.
Laut undercodenews.com liegt der Schwachstelle ein sogenannter Doppel-Free-Fehler zugrunde, der eine Remote-Code-Ausführung ohne Authentifizierung ermöglicht. Besonders gefährdet sei dadurch VPN-Infrastruktur, die auf diese Ports angewiesen ist.
Microsoft hatte laut undercodenews.com bereits im April 2026 einen entsprechenden Patch veröffentlicht. Windowsforum.com listet die konkreten Fix-Builds auf: Windows 10 22H2 mit Build 19045.7184, Windows 11 23H2 mit Build 22631.6936, 24H2 mit Build 26100.8246, 25H2 mit Build 26200.8246 sowie 26H1 mit Build 28000.1836.
Wer sich mit der Absicherung von Betriebssystemen befasst, sollte auch die grundlegenden Funktionen und Einstellungen des eigenen PCs im Griff haben. Dieser kostenlose PDF-Report liefert einfache Schritt-für-Schritt-Anleitungen, um die häufigsten Windows-Fehler schnell selbst zu beheben. 5 Windows-Probleme jetzt selbst lösen
Weitere Einträge im KEV-Katalog
Neben der Windows-IKE-Lücke nahm CISA am 18. August 2026 drei weitere Schwachstellen in den KEV-Katalog auf: CVE-2026-55040 in Microsoft SharePoint mit einem CVSS-Wert von 9,1, CVE-2026-59310 in VMware vCenter mit einem CVSS-Wert von 9,8 sowie CVE-2026-65400 in macOS, ebenfalls mit einem CVSS-Wert von 9,8. Die Aufnahme aller vier Einträge wurde am 19. August 2026 von securityaffairs.com bestätigt.
Verbindliche Frist für Bundesbehörden
Gemäß der Binding Operational Directive (BOD) 26-04 hat CISA für Behörden der Federal Civilian Executive Branch (FCEB) eine verbindliche Frist gesetzt: Die betroffenen Systeme müssen bis zum 21. August 2026 gepatcht werden.
Neben kritischen Sicherheits-Updates ist die Kenntnis über neue Funktionen und Systemänderungen für einen stabilen PC-Betrieb unerlässlich. Der Gratis-Report bündelt alles Wichtige zum aktuellen Betriebssystem, damit der Wechsel und die tägliche Nutzung reibungslos klappen. Windows 11 Komplettpaket kostenlos anfordern
Die Behörde empfiehlt darüber hinaus laut undercodenews.com, betroffene Systeme zu identifizieren, umgehend zu patchen und den Zugriff auf die Ports UDP 500 und 4500 einzuschränken, um das Risiko einer Ausnutzung zu verringern.
Da ein Patch bereits seit April 2026 verfügbar ist, richtet sich die Warnung insbesondere an Organisationen, die die Aktualisierung bislang nicht eingespielt haben. Angesichts der Kombination aus fehlender Authentifizierungspflicht, kritischem CVSS-Wert und bestätigter aktiver Ausnutzung stuft CISA die Bedrohungslage als dringlich ein.
