Der April-Patch für Ihr VPN wird jetzt ausgenutzt

Was die CISA am 18. August bestätigte

Die CISA nahm CVE-2026-33824 am 18. August 2026 in ihren Known-Exploited-Vulnerabilities-Katalog auf und bestätigte damit, dass eine Double-Free-Schwachstelle in den Windows-IKE-Diensterweiterungen, der Komponente für IKEv2/IPsec-VPN-Verbindungen, aktiv ausgenutzt wird. Die Lücke erreicht einen CVSS-Wert von 9,8 von 10 und erfordert keine Authentifizierung, sodass ein Angreifer mit Netzwerkzugriff sie ohne Passwort, Zertifikat oder vorherigen Zugriffspunkt auslösen kann.

Die Schwachstelle betrifft die UDP-Ports 500 und 4500, über die IKEv2/IPsec einen VPN-Tunnel aushandelt und aufrechterhält, und sie trifft jede unterstützte Version von Windows Server, Windows 10 und Windows 11 mit einem ins Internet exponierten IKEv2/IPsec-VPN. Die Warnung der CISA erschien als Teil eines Vier-CVE-Pakets, das auch eine macOS-Screen-Sharing-Lücke und einen VMware-vCenter-Path-Traversal-Fehler umfasste, doch die Windows-IKE-Lücke weist von allen vieren die klarste Angriffsfläche auf, und die CISA setzte den 21. August 2026 als Frist zur Behebung für US-Bundesbehörden, eine Frist, die zum Zeitpunkt dieser Berichterstattung bereits verstrichen war.

Wie Unit 42 die Rückverbindungen aufspürte

Unit 42, die Threat-Intelligence-Einheit von Palo Alto Networks, berichtete, einen chinesischsprachigen Bedrohungsakteur beobachtet zu haben, der interaktiv per Tastatur gesteuerte Reverse-Shell-Rückverbindungen von drei separaten IKE-VPN-Endpunkten aus sendete. Eine Reverse Shell wählt sich vom kompromittierten Rechner aus zur Infrastruktur des Angreifers hin, statt auf eine eingehende Verbindung zu warten, und genau deshalb überlebt sie die eingehend ausgerichteten Firewall-Regeln, auf denen der meiste Perimeterschutz beruht; der kompromittierte VPN-Server wirkt für viele Überwachungssysteme schlicht wie ein Server, der von sich aus eine ausgehende Verbindung aufbaut.

Manuell per Tastatur ausgeführte Aktivität bedeutet, dass ein Mensch interaktiv Befehle über die Shell eingab, statt ein vollautomatisiertes Skript laufen zu lassen, ein Aufwand, der zeigt, dass das Ziel eine gezielte Aufmerksamkeit wert war und keinem breiten, wahllosen Scan zum Opfer fiel. BleepingComputer, die CVE-Datenbank von SentinelOne und die Zero Day Initiative haben die technischen Kerndetails seit der CISA-Warnung jeweils bestätigt, und die Berichterstattung von gbhackers.com über die Unit-42-Recherche liefert das Reverse-Shell-Detail, das aus einer generischen Double-Free-Lücke einen dokumentierten, laufenden Einbruch macht.

Im April gepatcht ist nicht dieselbe Aussage wie heute sicher

Microsoft veröffentlichte im April 2026 einen Fix für CVE-2026-33824, fünf volle Monate bevor die CISA aktive Ausnutzung bestätigte und die Lücke in den KEV-Katalog aufnahm. Genau diese Lücke im zeitlichen Ablauf ist die eigentliche Geschichte: Ein seit April existierender Patch sagt, dass Microsoft seinen Teil erledigt hat, sagt aber nichts darüber, ob jeder ins Internet exponierte VPN-Konzentrator einer Organisation diesen Patch auch tatsächlich erhalten hat, und sagt noch weniger darüber, ob überhaupt jemand diese Endpunkte auf genau den ausgehenden Reverse-Shell-Verkehr überwachte, den Unit 42 fand.

"Wir haben vor Monaten gepatcht" und "wir sind heute sicher" sind zwei getrennte Aussagen, keine einzige, und wer beide gleichsetzt, erklärt genau, wie ein fünf Monate alter Fix neben einem laufenden, per Hand gesteuerten Einbruch landen kann. Ein VPN-Konzentrator ist ein natürlicher Patch-Nachzügler: Er wird oft vom Netzwerkteam statt vom Endpoint-Patching-Team betreut, liegt außerhalb der routinemäßigen Schwachstellenscans, die auf Arbeitsplatzrechner-Update-Zyklen ausgelegt sind, und lässt sich nicht immer ohne ein geplantes Wartungsfenster auf einen neuen Stand bringen, das mit Verfügbarkeitszusagen konkurriert. Segmentierung, die begrenzt, was ein kompromittierter VPN-Server erreichen kann, und Überwachung, die anomalen Datenverkehr von diesem Server erkennt, sind die beiden Kontrollen, die auffangen, was "der Patch kam im April" allein nicht auffängt.

Was diese Woche zu prüfen ist

IT- und Sicherheitsteams sollten den Patch bestätigen statt ihn anzunehmen: Sie müssen prüfen, ob jedes System mit Windows Server, Windows 10 oder Windows 11, auf dem IKEv2/IPsec-VPN aktiviert und aus dem Internet erreichbar ist, das Microsoft-Update von April 2026 tatsächlich erhalten hat, und nicht nur, dass das Update im Katalog existiert. Ein VPN-Gateway, das nach der Veröffentlichung des Patches in Betrieb genommen oder neu aufgesetzt wurde, oder eines, das von einem Drittanbieter betreut wird, verpasst genau in solchen Fällen still und leise ein Rollout, das alle anderen für abgeschlossen halten.

Danach sollten sie prüfen, was nach der bestätigten Patch-Installation passiert: ob der UDP-500/4500-Verkehr zu diesem Konzentrator vom Rest des Netzwerks segmentiert ist, sodass ein einziges kompromittiertes Gateway nicht zum Weg zu allem dahinter wird, und ob ausgehende Verbindungen vom VPN-Server selbst auf genau die Art von Reverse-Shell-Rückverbindung überwacht werden, die Unit 42 dokumentierte. Das ist exakt das Profil, für das der KEV-Katalog der CISA existiert, und dasselbe Profil, das das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) als hochpriorisiertes Handlungsfeld für Betreiber von ins Internet exponierter VPN-Infrastruktur einstuft.

Weiterlesen: 9,8 CVSS: macOS-VNC-Lücke schürft jetzt Monero  |  Zwei API-Aufrufe verschafften 295 Angreifern Root-Zugriff