Eine kritische Lücke in Check Points Remote-Access-VPN wird seit Wochen aktiv ausgenutzt. Angreifer bauen damit eine VPN-Verbindung auf, ganz ohne gültiges Passwort. Der Hersteller hat am 8. Juni einen Hotfix veröffentlicht, und mindestens ein Fall führte bereits zu Ransomware.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die Check Point VPN-Sicherheitslücke CVE-2026-50751 trägt einen CVSS-Wert von 9.3 und damit das Etikett kritisch. Seit dem 7. Mai läuft die Ausnutzung im Feld, einen Monat bevor der Patch kam. Betroffen sind Unternehmen, die ihre Gateways noch auf das veraltete IKEv1-Protokoll setzen.
Das Wichtigste in Kürze
- CVE-2026-50751 erlaubt unauthentifizierten Angreifern eine VPN-Sitzung ohne gültige Zugangsdaten, CVSS 9.3
- Betroffen sind Remote Access VPN, Mobile Access und Spark-Firewalls mit aktiviertem IKEv1, Versionen R80.20.X bis R82.10
- Check Point veröffentlichte am 8. Juni Hotfixes, das BSI stufte die Lücke am 9. Juni als hochriskant ein
- Mindestens ein Vorfall steht mit einem Qilin-Ransomware-Partner in Verbindung
Wie funktioniert der Angriff?
Der Fehler steckt in der Zertifikatsprüfung während des IKEv1-Schlüsselaustauschs. Die Logiklücke lässt den Client selbst bestimmen, wie streng das Gateway seine Anmeldedaten prüft, und ein Angreifer wählt schlicht die laxe Variante. Erreichbar ist die Lücke über UDP 500/4500 sowie TCP 443, also genau dort, wo Remote-Access-Gateways im Internet stehen. Nach dem Einbruch braucht es weitere Schritte bis zu den internen Ressourcen, doch der erste Türöffner sitzt bereits.
Wer ist betroffen, und was ist zu tun?
Gefährdet sind Gateways mit Remote Access VPN, Mobile Access oder SSL VPN sowie die für kleinere Betriebe gedachten Spark-Firewalls, sofern IKEv1 aktiv ist. Sofort patchen lautet die Ansage: Check Point hat die Hotfixes am 8. Juni bereitgestellt, und das Advisory des Herstellers führt die abgesicherten Versionen auf. Betriebe auf älteren, nicht mehr unterstützten Releases bekommen keinen Fix und müssen migrieren oder die genannten Workarounds setzen. Nach dem Patch gehört ein Blick in die Logs dazu, denn Check Point hat Indikatoren für die laufende Kampagne veröffentlicht.
Eine Lücke, die über einen Monat im Feld ausgenutzt wird, bevor der Patch kommt, verschiebt die Rechnung. Internet-erreichbare VPN-Gateways gehören auf die kürzeste Patch-Schleife, die ein Betrieb fahren kann.
— Markus Seyfferth, Chefredakteur Dr. Web
Was heißt das für DACH-Betriebe?
Für deutsche Unternehmen kommt die Meldepflicht ins Spiel. NIS-2 macht aus einem ausgenutzten VPN-Einbruch einen Vorgang für die Meldekette, sobald der Betrieb unter die Richtlinie fällt. Ähnlich gelagerte Fälle gab es zuletzt häufiger, etwa bei Ivanti Sentry mit CVSS 10.0 und bei Oracle WebLogic. Die Grundlagen für eine belastbare Patch-Routine fasst unser Leitfaden zu den Cybersecurity-Grundlagen zusammen.
Der konkrete Schritt für heute: prüfen, ob Ihre Gateways IKEv1 und Legacy-Clients zulassen, dann den Hotfix einspielen und die Gateway-Logs gegen die veröffentlichten Indikatoren abgleichen. Wo IKEv2 ausreicht, sollte IKEv1 ganz verschwinden.
Mehr Newshunger?
