Check Point VPN: Kritische Authentifizierungsumgehung CVE-2026-50751 seit Mai aktiv ausgenutzt – Qilin-Ransomware involviert
Eine kritische Schwachstelle (CVE-2026-50751, CVSS 9.3) in Check Point Remote Access VPN erlaubt unauthentifizierten Angreifern, die Passwortprüfung vollständig zu umgehen. Aktive Ausnutzung läuft seit dem 7. Mai 2026 – mindestens ein Opfer wurde mit Qilin-Ransomware kompromittiert.
Eine kritische Sicherheitslücke in Check Point Remote Access VPN und Mobile Access wird seit mindestens dem 7. Mai 2026 aktiv ausgenutzt – mehr als vier Wochen, bevor der Hersteller am 4. Juni erste Angriffsaktivitäten registrierte. Die Schwachstelle CVE-2026-50751 (CVSS 9.3) erlaubt unauthentifizierten Angreifern, die Passwortauthentifizierung vollständig zu umgehen und legitime VPN-Sitzungen ohne gültige Zugangsdaten zu etablieren. Mindestens ein bestätigter Kompromittierungsfall mündete in einem Qilin-Ransomware-Angriff. Check Point hat Hotfixes für alle betroffenen Versionen bereitgestellt.
Die Schwachstelle
CVE-2026-50751 beruht auf einem Logikfehler in der Zertifikatsprüfung des IKEv1-Protokolls in Check Points Security-Gateway-Software. Durch diesen Fehler können Angreifer die Passwortauthentifizierung vollständig überspringen und ohne gültige Credentials eine VPN-Sitzung aufbauen. Der CVSS-Score von 9.3 unterstreicht die hohe Kritikalität: Ein entfernter, nicht authentifizierter Angreifer benötigt lediglich Netzwerkzugang zum VPN-Endpunkt.
Parallel dazu wurde CVE-2026-50752 (CVSS 7.4) offengelegt, die Man-in-the-Middle-Angriffe auf Site-to-Site-VPN-Verbindungen ermöglicht. Beide Schwachstellen betreffen ausschließlich Konfigurationen, in denen das veraltete IKEv1-Protokoll für Remote Access aktiv ist.
Die Angreifer betreiben ihre Infrastruktur über die Anbieter Kaupo Cloud HK, Shock Hosting und Vultr. Für die Command-and-Control-Kommunikation wird das Tox-Protokoll eingesetzt. Die Kampagne ist nicht isoliert: Dieselben Akteure nutzen gleichzeitig VPN-Schwachstellen bei Palo Alto, Fortinet und F5 aus – was auf eine breit angelegte, opportunistische Angriffswelle hindeutet.
Bin ich betroffen?
Betroffen sind Check Point Security Gateways mit aktiviertem Remote Access VPN oder Mobile Access, sofern IKEv1 für Remote Access konfiguriert ist, Legacy-Remote-Access-Clients erlaubt werden und keine Maschinenzertifikate erzwungen sind. Die folgende Tabelle zeigt alle betroffenen Versionen:
| Produktlinie | Betroffene Versionen |
|---|---|
| Security Gateways | R80.40, R81, R81.10, R81.20, R82, R82.10 |
| Spark Firewalls | R80.20.X, R81.10.X, R82.00.X |
Organisationen, die ausschließlich IKEv2 nutzen oder Maschinenzertifikate für Remote Access erzwingen, sind nach aktuellem Kenntnisstand nicht durch CVE-2026-50751 gefährdet. Die Prüfung der eigenen IKEv1-Konfiguration hat daher höchste Priorität. Grundlegendes zu VPN-Absicherung und Netzwerksegmentierung bietet die s-edv.com-Anleitung WireGuard VPN für Homeoffice und Standorte einrichten.
Wie behebe ich das?
Check Point hat Hotfixes für alle betroffenen Gateway-Versionen (R80.40 bis R82.10 sowie die Spark-Firmware-Linien) veröffentlicht. Die empfohlenen Maßnahmen in absteigender Priorität:
- Sofort patchen: Die bereitgestellten Hotfixes über das Check Point Support Center einspielen. Alle genannten Versionen werden abgedeckt.
- IKEv1 deaktivieren: Falls ein sofortiger Patch nicht möglich ist, IKEv1 für Remote Access umgehend deaktivieren und auf IKEv2 migrieren.
- Legacy-Clients sperren: Remote-Access-Clients, die ausschließlich IKEv1 unterstützen, aus der erlaubten Client-Liste entfernen.
- Maschinenzertifikate erzwingen: Für alle VPN-Verbindungen Maschinenzertifikate als Pflichtbedingung konfigurieren, um zertifikatslose Authentifizierung zu unterbinden.
- Netzwerk-Logs prüfen: Angesichts der seit dem 7. Mai andauernden Ausnutzung sollten Logs ab diesem Datum auf anomale VPN-Authentifizierungen untersucht werden.
Für den Umgang mit einem möglichen Sicherheitsvorfall empfiehlt sich ein strukturierter Notfallplan – s-edv.com stellt dazu den Leitfaden Ransomware-Notfallplan: Die ersten 60 Minuten bereit.
Was bedeutet das für Unternehmen?
Die Zeitspanne zwischen Beginn der aktiven Ausnutzung (7. Mai) und der ersten Erkennung durch den Hersteller (4. Juni) beträgt fast einen Monat. Das entspricht einem klassischen Zero-Day-Szenario mit erheblichem Vorsprung für die Angreifer. Organisationen mit internetexponiertem Check Point VPN müssen davon ausgehen, dass Angreifer bereits seit Wochen über diese Lücke Netzwerkzugänge erlangen konnten.
Der bestätigte Qilin-Ransomware-Fall zeigt exemplarisch, welche Konsequenz ein erfolgreicher Angriff haben kann: vollständiger Netzwerkzugang ohne Credentials, gefolgt von lateraler Bewegung, Datenverschlüsselung und potenziellem Datendiebstahl. Bisher sind weltweit wenige Dutzend Opfer bekannt – die Zahl dürfte sich jedoch erhöhen, da die Kampagne weiterhin aktiv ist.
Besonders brisant: Die Angriffswelle richtet sich nicht exklusiv gegen Check Point. Dieselben Akteure attackieren parallel VPN-Infrastruktur von Palo Alto, Fortinet und F5. Unternehmen mit gemischten VPN-Umgebungen sollten daher alle eingesetzten Gateway-Produkte auf aktuelle Advisories prüfen. Angesichts des hohen CVSS-Werts von 9.3 und der bereits laufenden Ausnutzung ist CVE-2026-50751 als kritischer Notfallpatch einzustufen – Aufschübe sind nicht vertretbar.
Zur dauerhaften Härtung der Zugangssicherheit empfiehlt sich zudem die konsequente Einführung von Multi-Faktor-Authentifizierung für alle VPN-Zugänge, wie in der s-edv.com-Anleitung Zwei-Faktor-Authentifizierung (2FA/MFA) einführen beschrieben.
Quellen: BleepingComputer: Check Point links VPN zero-day attacks to Qilin ransomware gang | The Hacker News: Critical Check Point VPN Flaw Exploited to Bypass Passwords in IKEv1 Setups | The Register: Attackers had month-long head start on patched Check Point VPN zero-day | Help Net Security: Qilin ransomware affiliate exploited Check Point VPN zero-day CVE-2026-50751 | Check Point Blog: Security Advisory – Active Exploitation of CVE-2026-50751
