Windows IKE Extension: Spoofing durch Vertrauen auf nicht vertrauenswürdige Eingaben

Zusammenfassung

Die Windows IKE Extension, die den IKE-Schlüsselaustausch für IPsec- und VPN-Tunnel verarbeitet, enthält eine Spoofing-Schwachstelle. Sie entsteht, weil eine sicherheitsrelevante Entscheidung auf nicht vertrauenswürdigen Eingaben beruht. Ein entfernter Angreifer im Netzwerk kann sie ohne Berechtigungen und ohne Benutzerinteraktion ausnutzen. CVSS 3.1 bewertet sie mit 8.1 (hoch) bei hoher Angriffskomplexität; Microsoft ordnet die Auswirkung als Spoofing ein, der Vektor bewertet Vertraulichkeit, Integrität und Verfügbarkeit jedoch als hoch. Hosts, die IKE/IPsec-Verkehr aus dem Internet annehmen, sind am stärksten gefährdet.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 (inkl. Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inkl. Server Core): 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612
• Unbekannt: Windows Server 2019, 2022 und 2025 sind im CNA-Datensatz nicht aufgeführt.

Behoben in

• Behoben im Microsoft-Sicherheitsupdate vom Oktober 2026 laut CNA-Datensatz: Builds ab den unter Betroffen genannten Schwellenwerten.
• KB-Nummern: Unbekannt. Vor dem Rollout im MSRC-Advisory prüfen.

Umgehung

Unbekannt. Es wurde keine Herstellerumgehung und keine Schutzmassnahme gefunden. Das Patchen ist die wichtigste Massnahme.

Ausnutzung

• In freier Wildbahn: nichts bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• CISA KEV: nicht gelistet (laut OpenCVE).
• Öffentlicher PoC: keiner gefunden; später erneut prüfen.
• EPSS: etwa 0,008 (unter 1 %).

Unsere Empfehlung

• Betroffene Windows-Hosts mit dem Update vom Oktober 2026 patchen, zuerst IKE/IPsec-VPN-Gateways und Endpunkte von Site-to-Site-Tunneln.
• Exposition prüfen: Hosts ermitteln, die IKE/IPsec-Verkehr aus dem Internet annehmen, und den Zugriff wo möglich einschränken.
• KB-Nummern und behobene Builds im MSRC-Advisory bestätigen und den Lebenszyklusstatus älterer Builds wie Windows 10 1607 sowie Server 2012/2016 prüfen.
• Auf ungewöhnlichen IKE-Verkehr und neu veröffentlichten Exploit-Code achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• Vulners CNA record (version ranges) vulners.com
• Vulners NVD record (CVSS, EPSS, CWE) vulners.com
• OpenCVE (SSVC, KEV status) app.opencve.io
• SonicWall October 2026 bulletin coverage www.sonicwall.com
• Microsoft Partner CVE list 2026 cdn-dynmedia-1.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:27.