Fünf Monate nach der ersten Patch-Veröffentlichung durch Microsoft und knapp vier Wochen nach der eigentlichen Disclosure durch Rapid7 sind zwei Windows- und SharePoint-Schwachstellen am 18. August 2026 in den CISA KEV-Katalog aufgestiegen: die IKE-Remote-Code-Execution CVE-2026-33824 mit einem CVSS-Base-Score von 9,8 von 10 sowie die SharePoint-Authentifizierungsumgehung CVE-2026-55040 mit 9,1 von 10. Beide Lücken werden laut US-Behörde aktiv im Internet ausgenutzt und unterliegen damit der BOD 26-04-Patch-Frist für Bundesbehörden.

Der vorliegende Beitrag erklärt, was die beiden Schwachstellen technisch gemein haben, welche Server konkret gefährdet sind, welche Microsoft-Patches die Angriffskette unterbrechen und wie sich Unternehmen innerhalb der CISA-Frist von 21 Tagen schützen können.

1. CISA KEV-Katalog: Was der 18. August 2026 hinzufügte

Die Cybersecurity and Infrastructure Security Agency (CISA) erweiterte ihren Known Exploited Vulnerabilities Catalog um vier neue Einträge. Zwei davon stammen von Microsoft und sind für deutsche Unternehmen besonders relevant, weil sie in typischen Windows-Server- und SharePoint-Umgebungen auftreten:

Die VMware- und Apple-Einträge wurden auf itratgeber2024.de bereits in den Beiträgen vom 17. und 20. August 2026 behandelt. Dieser Artikel konzentriert sich auf die beiden Microsoft-Lücken.

1.1 BOD 26-04 und die 21-Tage-Frist

Mit Binding Operational Directive 26-04 hat CISA eine risikobasierte Patch-Priorisierung für Federal Civilian Executive Branch (FCEB) Behörden eingeführt. Vulnerabilities, die im KEV-Katalog gelistet sind und totale Kontrolle über öffentlich erreichbare Assets ermöglichen, müssen innerhalb von 21 Tagen geschlossen werden. Obwohl die Richtlinie nur für US-Behörden gilt, ist sie für deutsche IT-Sicherheitsverantwortliche ein pragmatischer Maßstab: Ein Eintrag im KEV-Katalog bedeutet nachweisliche, aktive Ausnutzung im Internet.

1.2 Warum ausgerechnet jetzt?

CVE-2026-33824 wurde bereits am 14. April 2026 bei NVD veröffentlicht, CVE-2026-55040 am 14. Juli 2026. Die Verzögerung zwischen dem ursprünglichen Patch und der KEV-Aufnahme deutet darauf hin, dass CISA erst in den Wochen vor dem 18. August 2026 konkrete Exploit-Aktivitäten in freier Wildbahn nachweisen konnte. Unternehmen, die die April- und Juli-Patches bislang zurückgestellt haben, müssen sie jetzt als aktiv bedrohte Schwachstellen behandeln.

2. CVE-2026-33824: Double Free im Windows IKE-Dienst

Die Internet Key Exchange (IKE) Extensions von Windows sind für den Aufbau von IPsec- und VPN-Verbindungen zuständig. Sie lauschen standardmäßig auf UDP-Port 500 und 4500. TrendAI Zero Day Initiative beschreibt die Lücke CVE-2026-33824 als Double-Free-Fehler in der IKEv2-Fragment-Reassemblierung innerhalb der Bibliothek ikeext.dll.

2.1 Technische Ursache

Wenn IKEv2-Nachrichten die Path-MTU überschreiten, werden sie in mehrere Encrypted Fragment (SKF) Payloads aufgeteilt. Windows setzt diese Fragmente in der Funktion IkeReinjectReassembledPacket() wieder zusammen. Dabei wird ein heap-alloziierter Blob-Zeiger flach in einen lokalen Stack-Context und anschließend in einen Thread-Pool-Work-Item kopiert. IkeDestroyPacketContext() gibt diesen Zeiger ein erstes Mal frei, während IkeCleanupMMNegotiation() beim späteren Aufräumen der Main Mode Security Association (MMSA) dieselbe Speicheradresse ein zweites Mal freigibt. Ein entfernter, nicht authentifizierter Angreifer kann diese Double-Free-Situation über gezielte IKE_SA_INIT- und fragmentierte IKE_AUTH-Pakete auslösen.

2.2 Auswirkung und Angriffsvektor

Laut ZDI-Analyse reicht es aus, präparierte Netzwerkpakete an einen erreichbaren Windows-Server zu senden. Bei erfolgreicher Ausnutzung läuft der Code im Sicherheitskontext des IKEEXT-Dienstes, also unter SYSTEM. Selbst wenn die Ausnutzung lediglich zu einem Absturz des Dienstes führt, ist das ein Denial-of-Service-Zustand für alle darüber laufenden VPN-Tunnel. NVD klassifiziert die Schwachstelle mit CVSS 3.1 9,8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

2.3 Betroffene Systeme und Gegenmaßnahmen

Alle aktuell unterstützten Windows-Server- und Windows-Desktop-Versionen mit IKEv2-VPN-Rolle sind potenziell betroffen. Die eigentliche Gefahr entsteht jedoch erst, wenn UDP 500/4500 aus dem Internet erreichbar sind. Unternehmen sollten daher zunächst prüfen, ob VPN-Gateways wirklich ungefiltert im Internet stehen. Wo ein Patch-Rollout länger dauert, hilft eine Firewall-Regel, die eingehende IKEv2-Pakete auf UDP 500/4500 auf vertrauenswürdige Quellnetze beschränkt. Der endgültige Fix ist der Microsoft-Sicherheitsupdate vom April 2026 für CVE-2026-33824.

3. CVE-2026-55040: Authentifizierungsumgehung in SharePoint

Microsoft SharePoint ist das zentrale Dokumenten- und Kollaborationssystem in vielen Unternehmen. CVE-2026-55040 ist eine Schwachstelle in der JWT-Token-Validierungspipeline, die es einem entfernten, nicht authentifizierten Angreifer erlaubt, die Identität eines beliebigen SharePoint-Benutzers oder -Administrators anzunehmen.

3.1 Wie die JWT-Umgehung funktioniert

Rapid7 erklärt in seiner Analyse, dass CVE-2026-55040 aus mehreren Problemen in der SharePoint-Token-Validierung resultiert. Ein Angreifer muss im Voraus die Identität kennen, die er impersonieren möchte. Praktisch lässt sich das beispielsweise über die Active-Directory-Security-ID (SID) oder den User Principal Name (UPN) wie administrator@domain.local erreichen. Rapid7 demonstrierte einen Proof-of-Concept, der SharePoint-Benutzer via SID-Enumeration identifiziert und anschließend die Authentifizierung für den Zielaccount umgeht.

3.2 Kette zur unauthentifizierten RCE

Die Gefahr von CVE-2026-55040 liegt nicht nur im Zugriff auf Dokumente und Sites. Rapid7 Labs verkettete die Authentifizierungsumgehung mit einer separaten Remote-Code-Execution-Schwachstelle und erreichte damit unauthentifizierte RCE gegen eine on-premises SharePoint-Farm. Microsoft teilte die Behebung in zwei Zyklen auf: Der Auth-Bypass wurde im Juli 2026 mit CVE-2026-55040 behoben, die RCE-Komponente im August 2026 mit CVE-2026-63520. The Hacker News betont, dass bereits der Juli-Patch die demonstrierte Kette unterbricht, der August-Patch aber die zweite Hälfte endgültig schließt.

3.3 Patch-Stand und KB-Artikel

Für CVE-2026-55040 hat Microsoft folgende Updates veröffentlicht:

• KB5002882 – SharePoint Server Subscription Edition, Version 16.0.19725.20434
• KB5002883 – SharePoint Server 2019, Version 16.0.10417.20175
• KB5002891 – SharePoint Enterprise Server 2016, Version 16.0.5561.1001

On-Premises-SharePoint-Farmen benötigen sowohl das Juli- als auch das August-Update, um die komplette Angriffskette zu neutralisieren. SharePoint Online ist von der on-premises-Lücke nicht betroffen.

4. Microsoft Patch Tuesday August 2026: Der passende Rahmen

Der August-Release von Microsoft umfasste nach Zählung von The Hacker News und Zero Day Initiative rund 398 neue CVEs, davon 62 als Critical eingestuft. Vier weitere unauthentifizierte RCEs mit CVSS 9,8 kamen hinzu, die jedoch nicht als aktiv ausgenutzt gemeldet wurden. Für die Bewertung der KEV-Einträge vom 18. August ist der Hintergrund wichtig: Microsoft hatte bereits im August-Patchday die RCE-Hälfte der SharePoint-Kette (CVE-2026-63520) verteilt, während CVE-2026-55040 selbst bereits im Juli-Patchday verfügbar war.

4.1 CVE-2026-68820 – der aktive Windows-Treiber-Zero-Day

Der Patch-Tuesday enthielt außerdem CVE-2026-68820, einen Use-after-Free in afd.sys, dem Ancillary Function Driver for WinSock. Diese Schwachstelle wurde mit CVSS 7.0 als aktiv ausgenutzt gemeldet; Check Point Research ordnete sie der Lazarus-Operation Dream Job zu. Anders als CVE-2026-33824 handelt es sich bei CVE-2026-68820 um eine lokale Rechteausweitung, die einen bereits vorhandenen Code auf dem System ausnutzt. Für eine ausführliche Einordnung des August-Releases siehe den Beitrag zu Microsoft Patch Tuesday August 2026.

4.2 Priorisierung für deutsche Unternehmen

Die Reihenfolge sollte lauten: zuerst Windows-Systeme mit IKEv2-VPN-Rolle im Internet und on-premises SharePoint-Farmen mit den KEV-Einträgen CVE-2026-33824 und CVE-2026-55040, danach CVE-2026-68820 auf Endpoints mit erhöhtem Bedrohungspotenzial, schließlich die vier weiteren Server-RCEs (DNS, WDS, QUIC, HPC Pack) je nach Erreichbarkeit im Netz.

5. Warum Double-Free-Schwachstellen im Netzwerk-Stack so gefährlich sind

Double-Free-Fehler gehören zu den klassischen Speicherfehlern, die in Betriebssystem-Komponenten besonders schwerwiegend werden. Anders als ein einfacher Use-after-Free benötigt ein Double Free keine komplexe Objektlebensdauer: Der Angreifer löst lediglich zwei Freigabeoperationen auf derselben Speicheradresse aus. Unter Windows geschieht dies im IKE-Dienst, der als SYSTEM läuft und keine Authentifizierung für den initialen Verbindungsaufbau erwartet.

5.1 Ausnutzung ohne Benutzerinteraktion

Der entscheidende Vorteil für einen Angreifer ist der fehlende menschliche Faktor. Es muss kein Nutzer einen Link anklicken, kein Dokument geöffnet werden und keine Anmeldung erfolgen. Sobald ein Windows-System mit IKEv2-Funktionalität UDP 500/4500 aus dem Internet exponiert, kann ein Angreifer präparierte Pakete senden. Das erklärt den hohen CVSS-Wert 9,8 und die Einstufung als „Exploitation more likely“ in Microsofts eigener Bewertung. Vergleichbare Fälle aus der Vergangenheit zeigen, dass VPN-Protokolle besonders attraktive Ziele sind, weil sie oft als vertrauenswürdige Einstiegspunkte in interne Netze missverstanden werden.

5.2 Heap-Spraying und moderne Exploit-Techniken

Moderne Exploits gegen Double-Free-Lücken arbeiten typischerweise mit Heap-Spraying und präparierten Fragmentierungssequenzen. Beim IKE-Dienst steuert der Angreifer die Größe und Reihenfolge der IKEv2-Fragmente, um den Heap in einen vorhersehbaren Zustand zu bringen. Sobald der zweite Free-Aufruf erfolgt, kann ein späterer Alloc denselben Speicherblock zurückgewinnen und Angreifer-kontrollierte Daten darin platzieren. Weil der IKEEXT-Dienst mit SYSTEM-Rechten läuft, reicht die Kompromittierung eines einzelnen Dienstes, um Kontrolle über das gesamte Betriebssystem zu erlangen.

6. SharePoint-Token-Validierung im Detail

Die Schwachstelle CVE-2026-55040 liegt in der Art und Weise, wie SharePoint JSON Web Tokens (JWT) validiert. JWTs werden in modernen Microsoft-365- und SharePoint-Umgebungen für die kommunikationsübergreifende Authentifizierung eingesetzt. Ein Token besteht aus Header, Payload und Signatur. Die Sicherheit hängt davon ab, dass der Empfänger die Signatur korrekt prüft, den Aussteller verifiziert und prüft, ob der Token für den beabsichtigten Empfänger ausgestellt wurde.

6.1 Schwachstelle in der Validierungspipeline

Rapid7 stellte fest, dass SharePoint in der Token-Validierungspipeline mehrere Prüfungen nicht streng genug durchsetzt. Ein Angreifer kann ein manipuliertes Token erstellen, das formal gültig aussieht, aber eine andere Identität beansprucht. Weil die Validierung den Aussteller und den Empfänger nicht ausreichend gegeneinander prüft, akzeptiert SharePoint das Token für den angegebenen Benutzer. Die Schwäche wird durch CWE-1390 „Weak Authentication“ beschrieben, also eine unsachgemäße Authentifizierungsprüfung.

6.2 Relevanz für On-Premises versus Cloud

Der Angriff betrifft explizit on-premises SharePoint-Server. SharePoint Online nutzt eine andere Authentifizierungsinfrastruktur und ist von CVE-2026-55040 nicht betroffen. Unternehmen, die noch lokale SharePoint-Farmen betreiben, sollten dies als zusätzlichen Druck betrachten, ihre Migrations- oder Hardening-Pläne zu beschleunigen. Solange die Systeme lokal laufen, liegen Patch- und Konfigurationsverantwortung beim Betreiber.

7. Vergleich mit anderen aktiv ausgenutzten Microsoft-Lücken 2026

Das Jahr 2026 zeigt eine Reihe von Microsoft-Schwachstellen, die den Sprung vom „verfügbaren Patch“ zum „aktiv ausgenutzten KEV-Eintrag“ geschafft haben. Ein Vergleich hilft, die relative Dringlichkeit einzuordnen.

7.1 Was der Vergleich zeigt

Auch Schwachstellen mit niedrigerem CVSS wie CVE-2026-68820 können hohe Priorität haben, wenn sie aktiv ausgenutzt werden und von APT-Gruppen wie Lazarus eingesetzt werden. Dennoch bleiben unauthentifizierte RCEs wie CVE-2026-33824 und CVE-2026-20963 aus Sicht der reinen technischen Auswirkung die größere Bedrohung, weil sie keinen vorherigen Zugriff benötigen. Die KEV-Einstufung hebt diese Lücken daher in die oberste Patch-Priorität.

7.2 Wiederkehrende Muster

Ein wiederkehrendes Muster ist die Verkettung mehrerer Schwachstellen zu einer unauthentifizierten RCE. Bei SharePoint verbindet CVE-2026-55040 den Auth-Bypass mit CVE-2026-63520 zur Code-Ausführung. Ähnliche Ketten gab es bereits bei früheren Microsoft-Produkten. Sicherheitsteams sollten daher nicht nur einzelne CVEs bewerten, sondern prüfen, ob vorhandene Authentifizierungsumgehungen in ihrer Umgebung mit anderen noch nicht gepatchten Lücken kombiniert werden können.

8. Checkliste: Was IT-Verantwortliche jetzt tun sollten

Die folgende Tabelle fasst die empfohlenen Maßnahmen für beide KEV-Schwachstellen zusammen.

8.1 Erkennung und Incident Response

Für CVE-2026-33824 empfiehlt sich die Netzwerküberwachung auf ungewöhnliche IKEv2-Fragmentierungsmuster und wiederholte IKE_SA_INIT-Anfragen von unbekannten Quellen. Bei CVE-2026-55040 sollten SharePoint-Administratoren prüfen, ob im ULS- oder IIS-Log unerwartete Identitätswechsel, abnormale Downloads aus Site-Sammlungen oder Zugriffe über das Search-Service-Application-Konto auftreten. Für beide Fälle gilt: Sicherheitsupdates sind die primäre, aber nicht die einzige Verteidigungslinie.

8.2 Patch-Management und Ausnahmeregelungen

Wenn ein sofortiges Update aus betrieblichen Gründen nicht möglich ist, müssen Ausnahmen dokumentiert und mit einem Kompensationsmaßnahmen-Paket versehen werden: Netzwerksegmentierung, zusätzliche WAF-Regeln, erhöhte Logging-Tiefe und ein beschleunigter Testzyklus. CISA BOD 26-04 verlangt für US-Behörden explizit den Nachweis, dass ein System vor Patch-Installation nicht kompromittiert wurde. Diese Praxis ist auch für deutsche Organisationen sinnvoll, die nach BSI-Grundschutz arbeiten.

9. Fazit und Handlungsempfehlung

Der CISA KEV-Eintrag vom 18. August 2026 macht CVE-2026-33824 und CVE-2026-55040 zu mehr als theoretischen Risiken. Beide Lücken werden im Internet aktiv ausgenutzt, beide erreichen kritische CVSS-Werte und beide betreffen Infrastruktur, die in den meisten mittleren und großen Unternehmen vorhanden ist: Windows VPN-Gateways und on-premises SharePoint-Farmen. Der April-Patch für CVE-2026-33824 und der Juli-/August-Patch-Zyklus für CVE-2026-55040 stehen bereits zur Verfügung. Organisationen, die diese Updates noch nicht ausgerollt haben, sollten das innerhalb der nächsten 21 Tage nachholen – idealerweise noch schneller.