CVE-2026-33824 BlueHammer: Wurmfaehige Windows IKE RCE, CVSS 9.8

Diese Woche in unserer InSEKurity der Woche-Serie: Eine kritische, unauthentifizierte Remote-Code-Execution-Schwachstelle in den Windows Internet Key Exchange (IKE) Service Extensions. Ein Double Free in IKEEXT.dll erlaubt entfernten Angreifern, auf jeder unterstützten Windows- und Windows-Server-Version NT AUTHORITY\SYSTEM zu erreichen — durch das Senden präparierter IKEv2-Pakete an UDP/500 oder UDP/4500, ohne Credentials, ohne User-Interaction. Die Zero Day Initiative hat den Bug als wurmfähig eingestuft, ein öffentlicher Proof-of-Concept mit dem Spitznamen BlueHammer zirkuliert bereits auf GitHub, und Microsoft bewertet die Ausnutzbarkeit mit “Exploitation More Likely.” Wer VPN-Concentrator, RRAS-Server, Always-On-VPN-Endpunkte betreibt oder schlicht einen IKEEXT-Service an einem aus einem untrusted Netzwerk erreichbaren Interface offen hat, sollte jetzt hinsehen.

🚨 Zusammenfassung

CVE ID: CVE-2026-33824
EUVD ID: EUVD-2026-22641
Alias: BlueHammer
CVSS 3.1 Score: 9.8 (Kritisch)
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE: CWE-415 (Double Free)
Betroffene Software: Windows Internet Key Exchange (IKE) Service Extensions (IKEEXT.dll) auf Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (22H2, 23H2, 24H2, 25H2, 26H1) sowie Windows Server 2016 / 2019 / 2022 / 2025 — x86, x64, ARM64
Angriffsvektor: Netzwerk (remote, unauthentifiziert) — UDP/500 (IKE) und UDP/4500 (IKE NAT-T)
Authentifizierung erforderlich: Keine
User-Interaction: Keine
Auswirkung: Remote Code Execution als NT AUTHORITY\SYSTEM, wurmfähig
Patch-Status: ✅ Verfügbar (Microsoft, 14. April 2026 Patch Tuesday)
Veröffentlicht: 14. April 2026
Exploitation-Status: Öffentlicher PoC (BlueHammer) auf GitHub; Microsoft bewertet die Ausnutzung als “More Likely”; erste Scan-Aktivitäten im Internet berichtet
CISA KEV: Nicht gelistet (Stand Veröffentlichung, 2026-04-21)

🖥️ Was ist der Windows IKE Service?

Das Internet Key Exchange (IKE)-Protokoll (RFC 7296 für IKEv2) ist die Schlüsselaushandlungs-Schicht unterhalb von IPsec. IKE-Peers handeln kryptografische Parameter aus, tauschen Diffie-Hellman-Schlüsselmaterial aus und authentifizieren sich, bevor überhaupt IPsec-geschützte Daten fließen. IKEv2 läuft über UDP — traditionell auf Port 500 und auf Port 4500, wenn NAT-Traversal erforderlich ist.

Unter Windows ist IKE als IKE and AuthIP IPsec Keying Modules Service (IKEEXT) implementiert: ein User-Mode-Service, der IKEEXT.dll lädt und ausgehandelte Schlüssel an den Kernel-Mode-IPsec-Treiber übergibt. IKEEXT ist auf jeder modernen Windows-SKU vorhanden, läuft als LocalSystem und startet automatisch, sobald eine IPsec-Policy, ein VPN-Profil oder eine Komponente aktiv wird, die IKE nutzt. In der Praxis deckt das sehr viel ab:

Typische Einsatzfälle

Remote-Access-VPN-Server: RRAS, Always On VPN und IKEv2-VPN-Endpunkte von Drittanbietern, die Mitarbeiter- und Site-to-Site-Tunnel terminieren.
Site-to-Site-IPsec-Gateways: Windows Server als IKEv2-IPsec-Peer zu Filialen, Partnern oder Cloud-Gateways.
Windows-IPsec-Policies: Domain Isolation, Server Isolation und “Boundary”-/“Encryption”-Zonen, die über die Windows Defender Firewall konfiguriert werden.
DirectAccess-Infrastruktur und ältere IPsec-basierte Tunnelbroker.
Client-seitiges IKEv2-VPN: Laptops und Mobilgeräte, die in bestimmten Netzwerk-Profilen auf IKE-Traffic antworten.
Cloud-Workloads: Windows-VMs in Azure, AWS oder GCP mit aktiver IPsec-Konfiguration und entsprechend offenen UDP-Ports.

Weil IKEEXT für IPsec und VPN zentral ist, sitzt dieser Dienst an der Vertrauensgrenze zwischen dem untrusted Netzwerk und einem SYSTEM-privilegierten Prozess. Eine Pre-Auth-RCE in genau dieser Komponente ist etwa so schlecht, wie Remote-Code-Ausführung unter Windows werden kann.

🔍 Technische Analyse

Schwachstellenbeschreibung

CVE-2026-33824 ist ein Double-Free Memory-Corruption-Fehler (CWE-415) in den Windows IKE Service Extensions. Öffentliche Analysen verorten die Schwachstelle im IKEv2-Payload-Parser innerhalb von IKEEXT.dll (beschrieben als IKEEXT::ProcessIKEPayload). Wenn der Dienst eine fehlerhaft gebaute IKEv2-Nachricht mit ungültigen verschachtelten Payloads parst, gibt der Fehlerbehandlungs-Pfad eine Allokation frei, lässt aber den zugehörigen Pointer unverändert stehen. Ein nachgelagerter Cleanup-Schritt gibt dieselbe Allokation ein zweites Mal frei — ein klassischer Double Free. Die daraus entstehende Heap-Corruption lässt sich zu einem kontrollierten Write-Primitiv groomen und von dort zu Code-Ausführung im Kontext von IKEEXT eskalieren, der als NT AUTHORITY\SYSTEM läuft.

Der Angreifer muss keinen vollständigen IKE_SA_INIT-Austausch durchführen, keinen Pre-Shared-Key kennen und kein Zertifikat vorweisen. Der verwundbare Parser wird vor jedem Authentifizierungsschritt erreicht, schon beim allerersten Paket des IKEv2-Handshakes.

Root-Cause-Analyse

Use-After-Free-Reihenfolge im IKEv2-Payload-Parser: Der Fehlerpfad, der fehlerhafte verschachtelte Payloads verarbeitet, ruft free() auf einen Payload-Puffer, lässt aber den besitzenden Pointer intakt.
Redundanter Cleanup-Pfad: Ein späterer Cleanup-Durchlauf in derselben Dispatch-Routine läuft die Payload-Kette ab und gibt den noch referenzierten Puffer erneut frei — der Double Free.
Heap-Corruption-Primitiv: Auf modernen Windows-Heap-Implementierungen lässt sich der Double Free zu kontrollierten Schreibzugriffen ausbauen, aus denen sich vollständige Code-Ausführung erzielen lässt.
Pre-Authentication-Reichweite: Der fehlerhafte Zweig sitzt vor der IKE-Authentifizierungsstufe. Jedes Paket, das IKEEXT auf UDP/500 oder UDP/4500 erreicht, kann ihn triggern.
Gemeinsamer Code für Server- und Client-Rolle: Sowohl der IKE-Responder (auf VPN-/RRAS-Servern) als auch der IKE-Initiator (auf Client-Endpunkten) konsumieren denselben Parser — Client-seitige Exposure existiert auf jeder Maschine, die IKEv2 aktiv nutzt.

Angriffsvektor

Ein typischer Ausnutzungs-Flow sieht so aus:

# Schritt 1: Erreichbare IKE-Endpunkte auf UDP/500 und UDP/4500 finden.
# Das Flag -sU weist nmap an, UDP-Scans durchzufuehren, und
# --version-intensity 0 haelt das Rauschen in der Aufklaerung gering.
nmap -sU -p 500,4500 --version-intensity 0 \
     --open 203.0.113.0/24 -oG ike-endpoints.gnmap

# Schritt 2: Bestaetigen, dass der Responder ein Windows-IKEEXT ist
# (Fingerprint ueber einen harmlosen IKE_SA_INIT) -- ike-scan liefert
# eine Vendor-ID-Signatur, die Microsofts IKE-Implementierung identifiziert.
ike-scan -M -A --id=@attacker 203.0.113.10
# Ausschau halten nach Vendor-ID-Strings, die mit "MS NT5 ISAKMPOAKLEY"
# beginnen -- das ist der Microsoft-IKE-Stack (IKEEXT unter Windows).

# Schritt 3: Das praeparierte, fehlerhafte IKEv2-Payload senden, das den
# Double Free in IKEEXT::ProcessIKEPayload triggert. Der oeffentliche
# BlueHammer-PoC bringt ein Python/Scapy-Skript mit, das dieses Paket
# zusammensetzt und auf UDP/500 oder UDP/4500 abfeuert.
python3 bluehammer.py --target 203.0.113.10 --port 4500 \
     --shellcode shellcode.bin
# Der PoC fuehrt Heap-Grooming durch, liefert das fehlerhafte Payload
# und platziert bei erfolgreicher Ausnutzung einen SYSTEM-Loader.

# Schritt 4: Reverse Shell / Beacon aufnehmen. Da IKEEXT als
# NT AUTHORITY\SYSTEM laeuft, erbt der Angreifer-Code automatisch den
# vollen SYSTEM-Kontext -- ganz ohne separate Privilege Escalation.
nc -nvlp 4444

Das obige Beispiel ist illustrativ. Die eigentliche Schwachstelle liegt serverseitig im Parser für verschachtelte IKEv2-Payloads; jedes funktional äquivalente Paket, das IKEEXT::ProcessIKEPayload erreicht, trifft denselben Code-Pfad.

Vereinfachte paketseitige Ansicht des Angriffs:

Angreifer                                               Opfer (Windows)
   |                                                          |
   |  UDP/500 oder UDP/4500                                   |
   |----- IKEv2 IKE_SA_INIT ---------------------------------->|  IKEEXT.dll parst
   |       (fehlerhaftes verschachteltes Payload,             |  die Payload-Kette
   |        triggert Double Free in                           |  -> free() -> free()
   |        IKEEXT::ProcessIKEPayload)                        |  auf demselben Puffer
   |                                                          |  => Heap Corruption
   |                                                          |
   |<-- SYSTEM Shell / C2 Beacon ----------------------------<|  Shellcode laeuft
   |                                                          |  als LocalSystem
   v                                                          v

Aktive Ausnutzung

2026-04-03 — Ein GitHub-Repository veröffentlicht Exploit-Code mit dem Spitznamen BlueHammer, der auf einen bis dahin unbekannten Double Free in den Windows IKE Extensions zielt. Der Code wird zunächst als unverifiziert abgetan.
2026-04-06 — Unabhängige Forscher bestätigen eine funktionierende Ausnutzung gegen vollständig gepatchte Windows-Server-2022-Maschinen und melden den Befund an Microsoft.
2026-04-14 — Microsoft veröffentlicht CVE-2026-33824 im Rahmen des April-Patch-Tuesday-Rollups. Bewertung der Ausnutzbarkeit: “Exploitation More Likely.”
2026-04-14 — Zero Day Initiative stuft die Schwachstelle neben einer separaten Windows-TCP/IP-Lücke als wurmfähig ein und spricht eine “Bug of the Month”-Warnung aus.
2026-04-15 — 2026-04-21 — Perimeter-Sensoren mehrerer MDR-Anbieter berichten Scan-Aktivitäten auf UDP/500 und UDP/4500 gegen exponierte Enterprise-Edges. Bestätigte Reports aktiver Ausnutzung bleiben zum Redaktionsschluss begrenzt; die CVE ist noch nicht im CISA-KEV-Katalog gelistet.

Angesichts der Pre-Auth-Reichweite, des öffentlichen PoC und der wurmfähigen Klassifizierung sollten Organisationen von einer bevorstehenden Waffenausbringung ausgehen — nicht auf die KEV-Listung warten.

Post-Exploitation-Auswirkung

SYSTEM-Level-Code-Ausführung auf dem initial kompromittierten Host: Beliebiger Code läuft als NT AUTHORITY\SYSTEM innerhalb des IKEEXT-Services, unter Umgehung aller user-context-basierten Kontrollen.
VPN-Gateway-Kompromittierung: Auf RRAS / Always On VPN / IKEv2-Concentrators von Drittanbietern landet der Angreifer direkt mit vollen Admin-Rechten an der Corporate-Edge.
Domain-Pivot: Von einem kompromittierten VPN-Gateway oder Windows-Server aus kann der Angreifer Maschinen-Credentials extrahieren, LSASS dumpen und lateral Richtung Domain Controller ziehen.
Wurmfähige Verbreitung: Da derselbe verwundbare Parser auf jedem IKEv2-fähigen Windows-Host existiert, kann Shellcode das interne Netz nach UDP/500 / UDP/4500 scannen und sich selbst replizieren.
Persistenz unterhalb üblicher Least-Privilege-Grenzen: SYSTEM-Zugang genügt, um Dienste, Treiber, geplante Aufgaben oder EDR-vermeidende Implants zu installieren.
Denial of Service: Selbst fehlgeschlagene Ausnutzungsversuche können IKEEXT zum Absturz bringen und damit alle IPsec-Tunnel und VPN-Sessions des Hosts beenden.

⚠️ Impact Assessment

Unmittelbare Auswirkung

Pre-Auth, netzwerkerreichbar, CVSS 9.8: Keine Credentials, keine User-Interaction, ein einziges präpariertes IKEv2-Paket.
SYSTEM-Level Code-Ausführung: Äquivalent zur vollständigen Host-Übernahme; keine separate Privilege Escalation erforderlich.
Wurmfähig: Dieselbe Schwachstelle existiert auf jeder unterstützten Windows-SKU und ermöglicht automatisierte laterale Ausbreitung.
Öffentlicher PoC: BlueHammer liegt bereits auf GitHub; Copy-Paste-Bewaffnung ist trivial.
Sehr große Angriffsfläche: Jede Windows-Maschine mit IPsec oder IKEv2-VPN auf einem erreichbaren Interface ist exponiert.

Betroffene Versionen

Plattform	Verwundbar	Behoben in
Windows 11 26H1 (x64 / ARM64)	Alle Builds vor April 2026	April 2026 Cumulative Update
Windows 11 25H2 (x64 / ARM64)	Alle Builds vor April 2026	April 2026 Cumulative Update
Windows 11 24H2 (x64 / ARM64)	Alle Builds vor April 2026	April 2026 Cumulative Update
Windows 11 23H2 / 22H2 (x64 / ARM64)	Alle Builds vor April 2026	April 2026 Cumulative Update
Windows 10 22H2 / 21H2 / 1809 / 1607 (x86 / x64 / ARM64)	Alle Builds vor April 2026	April 2026 Cumulative Update
Windows Server 2025	Alle Builds vor April 2026	April 2026 Cumulative Update
Windows Server 2022	Alle Builds vor April 2026	April 2026 Cumulative Update
Windows Server 2019	Alle Builds vor April 2026	April 2026 Cumulative Update
Windows Server 2016	Alle Builds vor April 2026	April 2026 Cumulative Update

Microsofts Advisory ist die maßgebliche Quelle für den exakten KB-Artikel und die Build-Nummer pro Produkt; vor dem Ausrollen stets MSRC CVE-2026-33824 abgleichen.

Betroffene Umgebungen

Enterprise-Remote-Access-VPN: Windows Server mit RRAS oder Always On VPN über IKEv2, direkt am Internet-Edge erreichbar.
Site-to-Site-IPsec-Gateways: Windows-basierte IPsec-Peers an Filialen, Cloud-Landing-Zones und Partner-Verbindungen.
Windows-Defender-Firewall-IPsec-Policies: Domain-Isolation-/Server-Isolation-Zonen, die auf IKEEXT jedes teilnehmenden Hosts aufsetzen.
Cloud-Windows-VMs: Azure-, AWS-, GCP-Workloads, deren NSG-/SG-Regeln UDP/500 / UDP/4500 eingehend erlauben.
Client-Endpunkte: Laptops mit IKEv2-VPN-Profilen in Hotel-, Konferenz- oder Café-Netzen, in denen feindliche Peers fehlerhafte IKE-Pakete senden können.
MSP-/Managed-VPN-Umgebungen: Jedes mandantenfähige Gateway auf Windows-Server-Basis ist ein Single Point of Failure über Kunden hinweg.

Angreifer-Profile

Initial-Access-Broker: Pre-Auth-SYSTEM auf einem VPN-Concentrator ist genau der Zugang, der stromaufwärts an Ransomware-Affiliates verkauft wird.
Ransomware-Gruppen: Wurmfähige SYSTEM-Level-RCE auf Windows Server ist ein direkter Pfad zu domain-weiten Verschlüsselungs-Events.
APT-Gruppen: Strategische Kompromittierung von VPN-Infrastruktur ermöglicht langfristige Spionage mit Implants unterhalb der Sichtbarkeit klassischer EDR.
Hacktivisten und Opportunisten: Der öffentliche PoC senkt die Einstiegshürde auf Wochenend-Scan-Kampagnen.
Insider: Ein authentifizierter Netz-Fußabdruck plus IKEEXT auf einem internen Windows-Server ergibt vollständige Domain-Kompromittierung, ohne jemals User-Mode-Auth-Flows anzufassen.

🛡️ Mitigation-Strategien

Sofortmaßnahmen (Priorität 1) ⚡

April 2026 Cumulative Update auf jeder Windows-/Windows-Server-Instanz einspielen:

# Als Administrator auf jedem Host ausfuehren - aktuellen Build
# inventarisieren und Windows Update Scan/Install antreiben.
Get-ComputerInfo | Select-Object OsName, OsVersion, OsBuildNumber

# Fehlende Updates nicht-interaktiv ueber das PSWindowsUpdate-Modul
# installieren (vorher: Install-Module PSWindowsUpdate -Force).
Import-Module PSWindowsUpdate
Get-WindowsUpdate -MicrosoftUpdate -Install -AcceptAll `
    -IgnoreReboot -Verbose

Patch-Status der IKE Service Extensions verifizieren über die Dateiversion von IKEEXT.dll:

# IKEEXT.dll liegt in %SystemRoot%\System32. Das April-2026-
# Cumulative-Update erhoeht die FileVersion -- mit dem in Microsofts
# Advisory fuer das jeweilige OS aufgefuehrten Build vergleichen.
Get-Item C:\Windows\System32\IKEEXT.dll |
    Select-Object Name, VersionInfo

UDP/500 und UDP/4500 am Perimeter blockieren auf allen Hosts, die kein IKE-/IPsec-Traffic terminieren:

# Host-seitige Firewall-Regel - eingehendes IKE auf Hosts blockieren,
# die auf diesen Ports nichts antworten muessen. Mit -RemoteAddress
# auf bekannte IPsec-Peers einschraenken, wo IKE benoetigt wird.
New-NetFirewallRule -DisplayName "Block Inbound IKE (CVE-2026-33824)" `
    -Direction Inbound -Action Block -Protocol UDP `
    -LocalPort 500,4500 -Profile Any

IKE auf bekannte Peers einschränken, wenn IPsec wirklich benötigt wird:

# UDP/500 + UDP/4500 nur von einer Whitelist von IPsec-Gateways /
# Branch-Peers erlauben - alles andere auf der Host-Firewall verwerfen.
New-NetFirewallRule -DisplayName "Allow IKE from known peers" `
    -Direction Inbound -Action Allow -Protocol UDP `
    -LocalPort 500,4500 `
    -RemoteAddress 198.51.100.10,198.51.100.11,203.0.113.5 `
    -Profile Any

Wenn IKE / IPsec gar nicht genutzt wird, Service deaktivieren:

# IKEEXT auf Hosts ohne IPsec-Policy oder IKEv2-VPN-Profil stoppen
# und auf "Disabled" setzen. Anschliessend pruefen, dass keine
# abhaengigen Dienste (RRAS, Always On VPN) gebraucht werden.
Stop-Service -Name IKEEXT -Force
Set-Service -Name IKEEXT -StartupType Disabled

Neustart und Verifikation: Der Patch wirkt erst, wenn das Cumulative Update vollständig installiert und der Host neu gestartet wurde.

Detection-Maßnahmen 🔍

Zum Redaktionsschluss liegen keine von Microsoft veröffentlichten IoCs vor. Nach den Symptomen der Ausnutzung jagen: unerwartete IKEEXT-Abstürze, verdächtige SYSTEM-Prozesse, die aus dem svchost.exe-Host von IKEEXT gestartet werden, und ungewöhnlicher IKE-Traffic aus nicht vertrauenswürdigen Quellen.

# IKEEXT-Service-Abstuerze suchen -- Double-Free-Versuche bringen den
# Dienst oft zum Absturz, bevor eine erfolgreiche Ausnutzung gelingt.
Get-WinEvent -FilterHashtable @{
    LogName   = 'System'
    ProviderName = 'Service Control Manager'
} | Where-Object { $_.Message -match 'IKEEXT' } |
    Select-Object TimeCreated, Id, Message -First 50

# Faulting Application Events fuer svchost.exe mit IKEEXT-Host.
Get-WinEvent -FilterHashtable @{
    LogName = 'Application'
    Id      = 1000
} | Where-Object { $_.Message -match 'ikeext\.dll' } |
    Select-Object TimeCreated, Message -First 50

# WFP-/IPsec-Operational-Log -- abnormale IKEv2-Aushandlungsfehler von
# unerwarteten Quell-IPs koennen Ausnutzungsversuchen vorausgehen.
Get-WinEvent -LogName 'Microsoft-Windows-IKEEXT/Operational' `
    -MaxEvents 200 |
    Where-Object { $_.LevelDisplayName -eq 'Error' } |
    Select-Object TimeCreated, Id, Message

Sysmon-/EDR-Hunting:

# Sysmon Event ID 1 (Prozesserstellung) -- jeder Kindprozess der
# svchost.exe-Instanz, die IKEEXT hostet, ist extrem verdaechtig.
# Alarmieren auf Prozesserstellung, bei der:
#   ParentImage mit \svchost.exe endet
#   UND die Parent-Commandline "-s IKEEXT" enthaelt
#   UND der Child-Prozess kein bekannter Windows-Housekeeping-Task ist.

Netzwerkseitiges Hunting:

Alarm auf Spitzen von UDP/500- oder UDP/4500-Traffic Richtung Windows-Hosts, die keine IPsec-Responder sind.
Alarm auf fragmentierte / übergroße IKEv2-Pakete Richtung interner Windows-Hosts.
Perimeter-IDS-Signaturen der Hersteller auf CVE-2026-33824 / BlueHammer-Coverage prüfen (Suricata, Snort, Palo Alto, Fortinet, Cisco Firepower).
Alarm auf neue eingehende UDP/500- / UDP/4500-Flows von externen Quellen zu Windows-Hosts, die keine Gateway-Funktion haben.

Langfristige Sicherheitsverbesserungen

IKE-Angriffsfläche reduzieren: IKEEXT auf jedem Windows-Host deaktivieren, der IPsec nicht braucht. Default-on SYSTEM-Services, die niemand nutzt, sind kostenlose RCE-Chancen.
VPN-Concentrator segmentieren: RRAS- / Always-On-VPN-Hosts wie Tier-0-Infrastruktur behandeln — separate OU, eigenes Management-Netz, strenges EDR, keine gemeinsamen Admin-Accounts mit dem Rest der Umgebung.
Exposure-Management-Inventar aufbauen: Kontinuierlich erfassen, welche Hosts UDP/500 und UDP/4500 extern exponieren; auf Drift alarmieren.
Patch-Tuesday-Disziplin für Netzdienste: Windows-Dienste am Netz-Edge sollten bei kritischen CVEs auf 7-Tage-SLA stehen, nicht auf Default-30.
Assume-Breach-Playbooks für VPN-Gateways: Ist ein Gateway kompromittiert, ist die Domain nur einen mimikatz-Aufruf vom Kollaps entfernt. Diesen Fall üben.
Legacy-IKE-Deployments abbauen: Prüfen, ob IPsec / IKEv2 überhaupt noch erforderlich ist; moderne SASE-/ZTNA-Architekturen machen den Bedarf häufig überflüssig.

🎯 Warum ist das kritisch?

Pre-Auth, CVSS 9.8, SYSTEM-Level-RCE: Keine Credentials, keine User-Interaction, die schlimmstmögliche Windows-Bug-Klasse.
Wurmfähig: Derselbe verwundbare Parser sitzt auf jeder unterstützten Windows-SKU — klassisches Material für netzpropagierende Malware.
Öffentlicher PoC bereits veröffentlicht: BlueHammer auf GitHub senkt die Hürde auf “clone, compile, run”.
Massive Angriffsfläche: Jeder Windows-basierte VPN-Concentrator, jeder RRAS-Server, jeder IPsec-geschützte Host, jede Cloud-VM mit aktivem IPsec.
SYSTEM-Kontext umgeht in-OS-Kontrollen: Antivirus, Host-Firewall, Credential-Guard-Konfigurationen und User-Mode-Hardening sind irrelevant, sobald Code als NT AUTHORITY\SYSTEM läuft.
VPN-Gateways sind privilegierte Ziele: Sie sitzen ohnehin am Edge, haben typischerweise Sichtkontakt zu Domain-Controllern und cachen häufig Maschinen-Credentials.
Keine praktikable Umgehung außer Patch oder Isolation: UDP/500 / UDP/4500 zu blockieren funktioniert nur dort, wo IKE tatsächlich nicht benötigt wird — auf echten VPN-Concentrators müssen die Ports offen bleiben.

🚀 Timeline und Disclosure

2026-04-03 — BlueHammer-PoC-Code erscheint auf GitHub und zielt auf einen bis dahin unbekannten Double Free in den Windows IKE Extensions.
2026-04-06 — Unabhängige Forscher bestätigen eine funktionierende Ausnutzung gegen vollständig gepatchte Windows Server 2022.
2026-04-14 — Microsoft veröffentlicht CVE-2026-33824 im April-2026-Patch-Tuesday-Release; Ausnutzbarkeitsbewertung “Exploitation More Likely.”
2026-04-14 — Zero Day Initiative stuft den Bug neben einer separaten Windows-TCP/IP-Schwachstelle als “wurmfähig” ein.
2026-04-17 — NVD veröffentlicht die CVSS-3.1-Bewertung (9.8 CRITICAL).
2026-04-15 — 2026-04-21 — MDR-Anbieter berichten Scan-Aktivitäten auf UDP/500 und UDP/4500 gegen exponierte Enterprise-Edges.
2026-04-21 — Die CVE ist zum Redaktionsschluss noch nicht im CISA-KEV-Katalog gelistet; PoC-Aktivität wächst weiter.

🔗 Ressourcen und Referenzen

CVE: CVE-2026-33824
NVD: NVD — CVE-2026-33824
MSRC Advisory: Microsoft Security Update Guide — CVE-2026-33824
CWE: CWE-415: Double Free
IKEv2 RFC: RFC 7296 — Internet Key Exchange Protocol Version 2 (IKEv2)
CISA KEV Catalog: Known Exploited Vulnerabilities

💼 SEKurity Unterstützt Sie

Schwachstellen wie CVE-2026-33824 erinnern deutlich daran, dass jeder SYSTEM-privilegierte Dienst am Netz-Edge ein strategisches Risiko ist, nicht nur ein operatives. Windows-Hosts, die IKE-/IPsec-Tunnel terminieren — VPN-Concentrator, RRAS-Server, Cloud-Gateways, Domain-Isolation-Responder — sind genau die Assets, die Angreifer suchen, weil ein erfolgreicher Exploit alles liefert, was für den Pivot direkt in die Domain gebraucht wird. Wir helfen Organisationen, solche Exposures zu finden, bevor es ein Angreifer tut, zu validieren, dass die richtigen Hosts wirklich gepatcht sind, und im Stresstest zu prüfen, ob flankierende Kontrollen eine wurmfähige RCE tatsächlich aufhalten.

Unsere Services

Penetration Testing: Webanwendungen, Mobile Apps (Android & iOS), SAP-Systeme, Active Directory
Groß angelegte Angriffe: Perimeter-Tests, IT-Infrastruktur-Tests, Red-Team-Engagements
Security Awareness: Phishing-Kampagnen, Hacking-Demonstrationen

Handeln Sie jetzt — bevor es Angreifer tun.

Kontakt:

🌐 Website: www.sekurity.de

📧 Anfragen: www.sekurity.de/kontakt

📱 LinkedIn: SEKurity GmbH

Ihr SEKurity Team — Your Trusted Adversaries

Die Sicherheit Ihrer VPN- und IPsec-Infrastruktur ist unser Antrieb.

InSEKurity der Woche (KW16/2026): Windows IKE Extensions RCE (CVE-2026-33824)