CVE-2026-50751: Authentifizierungs-Bypass in Check Point VPN, bereits aktiv ausgenutzt

CVE-2026-50751: Authentifizierungs-Bypass in Check Point VPN, bereits aktiv ausgenutzt

In Kürze

Es wurde eine kritische Schwachstelle (CVSS 9.3) veröffentlicht, die VPN-Produkte von Check Point betrifft und bereits im Katalog aktiv ausgenutzter Schwachstellen von CISA (KEV) geführt wird [1][2]. Der Fehler ermöglicht es einem entfernten Angreifer, ohne Zugangsdaten zu benötigen, eine VPN-Remote-Access-Verbindung herzustellen und dabei die Benutzerauthentifizierung zu umgehen [1]. Wenn Ihre Organisation Check Point Security Gateway mit den Funktionen Remote Access oder Mobile Access einsetzt, wird empfohlen, noch heute die verfügbaren Patches des Herstellers zu prüfen und die aktiven VPN-Sitzungen zu auditieren.

Was es ist und warum es wichtig ist

Laut dem auf NVD veröffentlichten technischen Datenblatt handelt es sich um einen Logikfehler bei der Zertifikatsvalidierung innerhalb des Schlüsselaustauschs von IKEv1, einem bereits als veraltet (deprecated) geltenden Protokoll, das jedoch in vielen Remote-Access-Umgebungen noch im Einsatz ist [1]. Dieser Fehler ermöglicht es einem nicht authentifizierten Angreifer, die Benutzername-Passwort-Prüfung zu umgehen und eine gültige VPN-Remote-Access-Verbindung ohne legitime Zugangsdaten aufzubauen [1].

In der Praxis bedeutet dies, dass ein externer Akteur einen Zugangsweg in das Unternehmensnetzwerk erhalten könnte – über genau die Infrastruktur, die den Fernzugriff eigentlich schützen soll: das VPN-Gateway. Dies ist ein besonders heikles Szenario, da diese Geräte in der Regel am Perimeter positioniert sind, mit direkter Sichtbarkeit aus dem Internet, und als Einfallstor zu internen Systemen fungieren.

Die Schwachstelle wurde am 8. Juni 2026 mit dem Schweregrad „critical" laut NVD veröffentlicht [1], und CISA hat sie in ihren KEV-Katalog aufgenommen, was bestätigt, dass eine aktive Ausnutzung vorliegt, die von dieser Behörde festgestellt wurde [2]. Derzeit liegen keine weiteren öffentlich verifizierten Details zum Umfang oder Ursprung dieser Ausnutzung vor.

Wen betrifft es

Der betroffene Hersteller ist Check Point [1]. Die offizielle Beschreibung nennt als betroffene Komponenten die Funktionen Remote Access und Mobile Access über den Schlüsselaustausch von IKEv1 [1]. Es liegt keine verifizierte Liste konkreter betroffener Versionen oder Modelle vor. Sollte Ihre Organisation daher Check-Point-Gateways mit aktiviertem Remote-Access-VPN betreiben, empfiehlt es sich, diesen Hinweis als potenziell relevant zu behandeln und den genauen Status direkt anhand der Dokumentation und der Sicherheitshinweise des Herstellers zu bestätigen.

Aus unserem Threat-Intelligence-Radar stufen wir diese Schwachstelle in die Kategorie „Authentifizierung / unbefugter Zugriff" mit kritischem Schweregrad ein, gerade weil es sich um einen Authentifizierungs-Bypass in einer Perimeter-Komponente für den Fernzugriff handelt: die Art von Fehler, die Internet-Exponierung, fehlende Notwendigkeit von Zugangsdaten und potenziellen direkten Zugriff auf das interne Netzwerk kombiniert.

Wie Sie feststellen, ob Sie betroffen sind

Prüfen Sie zunächst, ob Ihre Organisation Check-Point-Gateways mit den Funktionen Remote Access oder Mobile Access eingesetzt hat, die aus dem Internet erreichbar sind: Genau diese werden in der offiziellen Beschreibung als betroffen genannt [1]. Überprüfen Sie außerdem, ob der in diesen VPN-Verbindungen konfigurierte Schlüsselaustausch weiterhin IKEv1 verwendet, da dies das im Fehler genannte Protokoll ist [1].

Über die interne Überprüfung hinaus empfiehlt es sich, zu erfassen, welche Assets Ihrer Organisation tatsächlich nach außen exponiert sind: VPN-Gateways, Remote-Access-Portale und alle aus dem Internet sichtbaren Check-Point-Dienste sind die ersten Kandidaten für eine Überprüfung. Diese exponierte Angriffsfläche genau zu kennen, ist im Allgemeinen der erste Schritt bei jedem Hinweis dieser Art – und das gilt umso mehr, wenn Infrastruktur für den Fernzugriff am Perimeter betroffen ist.

Wie Sie sich schützen

• Konsultieren Sie so schnell wie möglich die offiziellen Hinweise und Patches von Check Point für Ihre konkreten Produkte und Versionen und wenden Sie diese gemäß dem Verfahren Ihres Anbieters oder Technologiepartners an.
• Auditieren Sie die aktiven und aktuellen VPN-Verbindungen an Ihren Gateways und suchen Sie nach Sitzungen, die nicht bekannten Benutzern oder Geräten zuzuordnen sind.
• Wenn technisch machbar und ohne kritische Dienste zu unterbrechen, erwägen Sie, IKEv1 zu deaktivieren oder auf neuere Schlüsselaustauschprotokolle zu migrieren, da dies die in der Fehlerbeschreibung genannte Komponente ist [1].
• Verstärken Sie in den kommenden Wochen die Überwachung der Remote-Access-Gateways, da die Schwachstelle im KEV-Katalog geführt wird und eine aktive Ausnutzung nachweislich vorliegt [2].
• Dokumentieren Sie, welche Check-Point-Systeme Ihre Organisation betreibt und wie stark diese tatsächlich dem Internet exponiert sind; dies ist die Grundlage für die Priorisierung jeder Abhilfemaßnahme.

Häufig gestellte Fragen

Bedeutet das, dass wir bereits angegriffen wurden?

Nicht zwangsläufig. Dass die CVE im KEV-Katalog geführt wird, bestätigt, dass CISA generell Kenntnis von aktiver Ausnutzung hat [2], nicht dass jede Organisation mit Check-Point-Produkten angegriffen wurde.

Muss ich aus regulatorischen Gründen zwingend patchen?

Die Aufnahme in den KEV-Katalog bringt verpflichtende Fristen zur Behebung für zivile Bundesbehörden der USA mit sich (gemäß der Direktive BOD 22-01). Für alle anderen Organisationen besteht keine regulatorische Verpflichtung, wohl aber ein starkes Signal, dass das Patchen so schnell wie möglich priorisiert werden sollte.

Was tue ich, wenn ich nicht weiß, ob bei uns Remote Access oder Mobile Access aktiviert sind?

Das ist ein guter Ausgangspunkt für Ihr IT-Team oder Ihren Sicherheitsanbieter: die Konfiguration der Check-Point-Gateways zu überprüfen und zu bestätigen, welche Remote-Access-Funktionen aktiviert und dem Internet exponiert sind.

Quellen

• [1] NVD — Offizielles Datenblatt zu CVE-2026-50751: nvd.nist.gov/vuln/detail/CVE-2026-50751
• [2] CISA — Katalog bekannter ausgenutzter Schwachstellen (KEV): cisa.gov/known-exploited-vulnerabilities-catalog