Windows IKE-Erweiterung: Spoofing durch unzureichende Zugriffskontrolle

Zusammenfassung

Eine Spoofing-Schwachstelle im Dienst Windows IKE-Erweiterung (IKEEXT), klassifiziert als CWE-1220 (unzureichende Granularität der Zugriffskontrolle), erlaubt einem autorisierten lokalen Angreifer Spoofing. Microsoft als CNA bewertet die Lücke mit CVSS 3.1 7.5 (hoch), und Microsoft selbst stuft sie als wichtig ein. Der Angreifer benötigt lokalen Zugriff mit niedrigen Berechtigungen und hoher Angriffskomplexität, und wegen des Scope-Wechsels kann sich die Auswirkung auf weitere Komponenten erstrecken. Eine Ausnutzung wurde nicht beobachtet, und ein öffentlicher Proof of Concept ist nicht bekannt.

Betroffen

• Windows 10 Version 1607: vor 10.0.14393.9688
• Windows 10 Version 1809: vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2: vor 10.0.26200.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows 11 Version 26H2: vor 10.0.26300.9974
• Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows Server 2022: vor 10.0.20348.5870
• Windows Server 2025 ist im CVE-Eintrag nicht aufgeführt; bei MSRC prüfen.

Behoben in

• Die Sicherheitsupdates vom November 2026 (Patch Tuesday) installieren, die die oben genannten Builds oder höher bereitstellen.
• KB-Nummern: Unbekannt. Im MSRC Security Update Guide prüfen.

Umgehung

• Unbekannt. Der CVE-Eintrag bestätigt keine Massnahme.
• Falls das Geräte-Tunnel und der IKEv2-Benutzer-Tunnel nicht verwendet werden, die IKEv2-Ports an der Firewall am Perimeter blockieren, nachdem die Portliste in der Microsoft-Dokumentation bestätigt wurde.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn oder auf einen öffentlichen Proof of Concept. Der CVSS-Temporalvektor markiert die Reife des Exploit-Codes als nicht nachgewiesen (E:U).
• Separates Thema: Die CISA hat eine andere kritische, nicht authentifizierte RCE in der Windows IKE-Erweiterung (Patch Tuesday April 2026) in den KEV-Katalog aufgenommen. Die CVE-ID wird in den Quellen nicht genannt.

Unsere Empfehlung

• Prüfen, ob der Dienst IKEEXT verwendet wird, zum Beispiel IKEv2-VPN oder Always-On-VPN-Geräte-Tunnel, auf Windows-Systemen.
• Die kumulativen Sicherheitsupdates vom November 2026 auf betroffenen Systemen im nächsten Wartungsfenster installieren und die Builds bei MSRC verifizieren.
• Auf Systemen ohne IKEv2-Bedarf die IKE-Ports am Perimeter einschränken.
• Sicherstellen, dass IKE-Systeme auch gegen die separate, in KEV aufgeführte IKE-RCE gepatcht sind.
• MSRC und CISA KEV auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-122169 msrc.microsoft.com
• CVE Record CVE-2026-122169 (CVE.org) www.cve.org
• Richard Hicks: Always On VPN security updates, November 2026 directaccess.richardhicks.com
• Strix: CVE-2026-122169 (third-party aggregator, unverified builds) www.strix.ai
• BleepingComputer: CISA adds critical Windows IKE Extension flaw to KEV www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:18.