Check Point VPN unter Beschuss: Kritische Authentifizierungslücke CVE-2026-50751 aktiv ausgenutzt

Wer Check Points Remote-Access-VPN im Einsatz hat, sollte jetzt handeln: Unter der Kennung CVE-2026-50751 ist eine kritische Authentifizierungs-Umgehung bekannt geworden, die es entfernten Angreifern ohne gültiges Passwort erlaubt, eine VPN-Sitzung aufzubauen. Die Schwachstelle erreicht einen CVSS-Score von 9,3 und wurde nachweislich bereits ausgenutzt, bevor überhaupt ein Patch zur Verfügung stand.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Worum geht es?

Betroffen sind Check-Point-Gateways, die das veraltete Schlüsselaustausch-Protokoll IKEv1 verwenden und ältere Remote-Access-Clients akzeptieren, ohne ein Maschinenzertifikat zu verlangen. In solchen Konfigurationen kann ein nicht authentifizierter Angreifer aus der Ferne eine VPN-Verbindung herstellen – ein klassischer Authentication Bypass, der die erste Verteidigungslinie vieler Unternehmensnetze aushebelt.

Die technische Ursache

Nach Analysen mehrerer Sicherheitsfirmen liegt die Wurzel des Problems in der Art und Weise, wie die Gateways während des IKEv1-Schlüsselaustauschs das sogenannte VPNExtFeatures-Vendor-ID-Payload verarbeiten. Das Gateway liest dabei vier abschließende Bytes aus diesem vom Client gelieferten Datenfeld und schreibt sie direkt in ein Register, das den Authentifizierungsstatus steuert. Damit kontrolliert faktisch der angreifende Client selbst, ob die Authentifizierung als erfolgreich gilt – ein gefährlicher Logikfehler.

Seit Wochen im Visier

Besonders brisant: Die Ausnutzung lief bereits seit mindestens dem 7. Mai 2026 – also über einen Monat, bevor der Hersteller die Lücke schloss. Sicherheitsforscher beobachteten gezielte Angriffe auf einige Dutzend Organisationen weltweit. In mindestens einem Fall folgte auf die kompromittierte VPN-Sitzung Aktivität, die einem Affiliate der Qilin-Ransomware zugeordnet wird. Das zeigt das typische Muster moderner Angriffe: Der VPN-Zugang dient als Einfallstor, dem dann Datendiebstahl und Verschlüsselung folgen.

Was Administratoren jetzt tun sollten

Check Point hat am 8. Juni 2026 ein Advisory veröffentlicht und Hotfixes bereitgestellt. Die wichtigsten Sofortmaßnahmen:

• Hotfix einspielen: Wer IKEv1 nutzt, sollte die bereitgestellten Sicherheitsupdates umgehend installieren.
• IKEv1 deaktivieren: Wird kein Remote-Access-VPN über IKEv1 benötigt, sollte das Protokoll auf allen Security Gateways abgeschaltet werden.
• Auf IKEv2 umstellen: Wo möglich, sollte ausschließlich das modernere IKEv2 erzwungen werden.
• Logs prüfen: Da die Lücke seit Mai aktiv ausgenutzt wurde, lohnt ein Blick auf ungewöhnliche VPN-Anmeldungen rückwirkend bis Anfang Mai.

Einordnung

CVE-2026-50751 reiht sich in eine ganze Serie von Angriffen auf Perimeter-Geräte ein – VPN-Gateways, Firewalls und Fernzugriffslösungen stehen seit Monaten ganz oben auf der Zielliste von Ransomware-Gruppen. Der Fall unterstreicht zugleich, wie riskant der Weiterbetrieb veralteter Protokolle wie IKEv1 ist. Unternehmen sollten deprecated-markierte Technologien konsequent ausmustern, statt sie aus Bequemlichkeit aktiv zu lassen.

Quellen

• Check Point Blog: Patch Critical Check Point VPN Vulnerability (CVE-2026-50751)
• Rapid7: Critical Check Point VPN Zero-Day Exploited in the Wild
• SOC Prime: CVE-2026-50751 Check Point VPN Authentication Bypass
• B2B Cyber Security: BSI warnt vor kritischer Schwachstelle in Check Point VPN-Lösungen