Check Point VPN Zero-Day: CVE-2026-50751 von Qilin-Ransomware ausgenutzt

Ein neuer Check Point VPN Zero-Day sorgt derzeit für Aufregung in der IT-Sicherheitswelt. Die Schwachstelle CVE-2026-50751 erlaubt es Angreifern, sich ohne gültiges Passwort an einem Remote-Access-VPN anzumelden. Folglich stuft Check Point die Lücke mit einem CVSS-Wert von 9,3 als nahezu kritisch ein. Besonders brisant: Die US-Behörde CISA hat den Fehler bereits in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Was der Check Point VPN Zero-Day genau bedroht

Betroffen sind ausschließlich Gateways, die das veraltete Schlüsselaustausch-Protokoll IKEv1 nutzen. Zudem müssen diese Systeme ohne verpflichtendes Maschinenzertifikat arbeiten und ältere Remote-Access-Clients akzeptieren. Ein Logikfehler in der Zertifikatsprüfung ist der Kern des Problems. Dadurch kann ein nicht authentifizierter Angreifer eine VPN-Sitzung aufbauen, ohne ein gültiges Benutzerpasswort vorzulegen.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Kurz gesagt: Wer noch auf das alte IKEv1 setzt, öffnet Angreifern unter Umständen die Haustür. Deshalb sollten Administratoren ihre Konfiguration umgehend prüfen.

Aktive Ausnutzung seit Mai 2026

Check Point Research startete die Untersuchung offiziell am 4. Juni 2026. Forensische Spuren zeigen allerdings, dass Angreifer die Lücke bereits seit dem 7. Mai 2026 still ausnutzten. Bislang blieb die beobachtete Ausnutzung auf einige Dutzend gezielt angegriffene Organisationen weltweit beschränkt. Trotzdem nahm die Aktivität an einem Wochenende im Juni deutlich zu.

Darüber hinaus ordnet Check Point mindestens einen Vorfall mit mittlerer Zuversicht der Qilin-Ransomware zu. Diese Gruppe tauchte 2022 als Ransomware-as-a-Service-Dienst auf und listet inzwischen fast 400 Opfer auf ihrer Leak-Seite. Vermutlich nutzt derselbe Akteur außerdem ältere VPN-Lücken von Anbietern wie Palo Alto, Fortinet und F5.

CISA setzt enge Patch-Frist

Die CISA reagierte schnell und ergänzte CVE-2026-50751 in ihrem KEV-Katalog. Damit verpflichtete sie US-Bundesbehörden, ihre Check-Point-Systeme kurzfristig abzusichern. Diese Dringlichkeit unterstreicht, wie ernst die Lage ist. Auch europäische Betreiber sollten die Warnung deshalb nicht auf die leichte Schulter nehmen.

Ähnlich dramatische Fälle gab es zuletzt häufiger. Wer die Entwicklung verfolgt, erinnert sich etwa an den aktiv ausgenutzten Zero-Day in Cisco Catalyst SD-WAN Manager. Netzwerk- und VPN-Komponenten stehen also klar im Fokus der Angreifer.

So schützen Admins ihre Gateways

Zunächst gilt: Spielen Sie den von Check Point bereitgestellten Hotfix sofort ein. Wer nicht sofort patchen kann, sollte folgende Gegenmaßnahmen umsetzen:

• Unterstützung für den veralteten Remote-Access-Client entfernen.
• Die Remote-Access-VPN-Authentifizierung in den globalen Eigenschaften auf IKEv2 umstellen.
• IPS aktivieren und die aktuellen Signaturen herunterladen.
• Die Authentifizierung per Maschinenzertifikat verpflichtend machen.

Außerdem empfiehlt es sich, die Protokolle der betroffenen Gateways auf ungewöhnliche VPN-Anmeldungen zu prüfen. Schließlich bleibt eine schnelle Reaktion die beste Verteidigung. Denn solange die Lücke offen ist, bleibt jedes ungepatchte Gateway ein lohnendes Ziel.

Quellen

• BleepingComputer: Check Point links VPN zero-day attacks to Qilin ransomware gang
• Check Point Blog: Patch Critical Check Point VPN Vulnerability (CVE-2026-50751)
• Rapid7: Critical Check Point VPN Zero-Day Exploited in the Wild
• SecurityWeek: Check Point VPN Zero-Day Exploited in Qilin Ransomware Attacks