CISA gab Behörden drei Tage, um diese Windows-Lücke zu patchen - so erfahren Sie, ob es Ihren PC betrifft

Microsoft hat diese Lücke im April behoben. Am Mittwoch setzte CISA sie auf die Liste der Schwachstellen, die bereits in echten Angriffen genutzt werden, und gab Bundesbehörden drei Tage statt der üblichen zwei Wochen zum Patchen. Diese Frist zeigt, wie die Behörde die Lücke einschätzt.

CVE-2026-33824 sitzt in der Windows-IKE-Erweiterung, jener Netzwerktechnik, die den Handshake für verschlüsselte VPN-Verbindungen abwickelt. Sie erreicht 9,8 von 10 Punkten, und der Grund liegt in der Kombination der Eigenschaften und nicht in einer einzelnen davon: Ein Angreifer kann durch das Senden speziell präparierter Datenpakete Code auf dem Rechner ausführen, braucht kein Passwort und braucht überhaupt nichts von Ihnen. Kein Klick, kein Download. Der Datenverkehr trifft über die UDP-Ports 500 und 4500 ein. Jede unterstützte Version von Windows 10, Windows 11 und Windows Server ist betroffen.

Jetzt der Teil, der Ihren Puls senken sollte. Damit irgendetwas davon funktioniert, müssen diese Ports erreichbar sein, und bei einem gewöhnlichen Heimnetzwerk sind sie das nicht - Ihr Router leitet unaufgeforderten eingehenden Datenverkehr nicht an Ihren PC weiter, es sei denn, jemand hat das absichtlich so eingerichtet. Die tatsächlich exponierten Rechner sind solche, die direkt im Internet stehen, oder solche, die über ein Netzwerk erreichbar sind, in dem ein Angreifer bereits Fuß gefasst hat. Weder Microsoft noch CISA haben mitgeteilt, wer die Lücke ausnutzt oder wie.

Der Patch liegt seit dem Patchday im April in Windows Update, und jedes monatliche Update seither führt ihn mit. Die Frage ist also nicht, ob Sie ihn brauchen - sondern ob Ihre Updates sich tatsächlich installiert haben. Tendvanes Sicherheitsstatus-Check beantwortet das in wenigen Sekunden, und der Windows-Update-Reparaturassistent ist für die PCs da, bei denen Updates immer wieder fehlschlagen.