Check Point VPN: Anmeldung ohne Passwort über veraltetes IKEv1

Alte Protokolle bleiben oft aus einem einzigen Grund aktiv: Irgendein älterer Client braucht sie noch. Bei Check Point wird genau das gerade zum Einfallstor. Über die Schwachstelle CVE-2026-50751 bauen Angreifer eine Remote-Access-VPN-Verbindung auf, ohne ein gültiges Passwort zu kennen – vorausgesetzt, das Gateway erlaubt noch das veraltete Schlüsselaustauschverfahren IKEv1. Check Point hat die Lücke am 8. Juni 2026 veröffentlicht und beobachtet Angriffe seit dem 7. Mai. In mindestens einem Fall steckte ein Partner der Ransomware-Gruppe Qilin dahinter. Die US-Behörde CISA hat die Lücke noch am selben Tag in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Worum es geht

Der Fehler liegt in der Prüfung von Zertifikaten beim IKEv1-Schlüsselaustausch für Remote Access VPN und Mobile Access. Ein Logikfehler führt dazu, dass das Gateway eine VPN-Verbindung zulässt, ohne dass der Benutzer sich mit einem gültigen Passwort ausgewiesen hat. Laut Check Point braucht der Angreifer danach weitere Schritte, um auf interne Ressourcen zuzugreifen oder seine Rechte auszuweiten – die VPN-Verbindung selbst steht aber.

Die Eckdaten laut Check-Point-Advisory sk185033:

• Schweregrad: CVSS 9.3 (kritisch).
• Betroffen: Security Gateways mit R81.20, R82 und R82.10 sowie die nicht mehr unterstützten Versionen R80.40, R81 und R81.10; außerdem Spark-Firewalls mit R80.20.X, R81.10.X und R82.00.X. Verwundbar ist ein Gateway nur, wenn alle diese Bedingungen zutreffen: Remote Access VPN oder Mobile Access ist aktiv, IKEv1 ist für Remote Access erlaubt, das Gateway akzeptiert ältere Remote-Access-Clients und es verlangt kein Maschinenzertifikat.
• Behoben in: Hotfixes, die Check Point für die unterstützten Versionen bereitstellt. Welches Paket zu welchem Versionsstand passt, steht in sk185033.
• Voraussetzung für den Angriff: ein aus dem Internet erreichbares Gateway mit der beschriebenen Konfiguration. Zugangsdaten braucht der Angreifer nicht.
• Folge: eine VPN-Sitzung ohne gültiges Passwort – also ein Zugang ins Netz, an dem weder Kennwort noch weitere Anmeldefaktoren beteiligt sind.

Bei der Untersuchung fand Check Point eine zweite Lücke im selben Verfahren: CVE-2026-50752 (CVSS 7.4) ermöglicht unter Umständen Man-in-the-Middle-Angriffe auf Site-to-Site-VPN-Verbindungen. Eine Ausnutzung wurde dabei bisher nicht beobachtet.

Warum das dringend ist

Laut Check Point begannen die Angriffe spätestens am 7. Mai 2026 und nahmen Anfang Juni zu. Betroffen sind nach Herstellerangaben „einige Dutzend“ gezielt ausgewählte Organisationen weltweit. Check Point geht mit mittlerer Sicherheit von einem finanziell motivierten Akteur aus, der Qilin-Ransomware einsetzt. Nach dem VPN-Zugang versuchten die Angreifer, Schadprogramme für Linux von eigenen Servern nachzuladen.

Aufschlussreich ist die Infrastruktur: Die Angriffe kamen von gemieteten virtuellen Servern bei Hosting-Anbietern, teils in demselben Land wie das Opfer. Nach Einschätzung von Check Point nutzt dieselbe Infrastruktur auch veröffentlichte Lücken in VPN-Produkten anderer Hersteller. Hier wird also nicht ein einzelnes Produkt angegriffen, sondern der VPN-Zugang als solcher – egal, von wem er stammt.

Für Check-Point-Kunden ist das Muster nicht neu. Schon im Mai 2024 betraf CVE-2024-24919 (CVSS 8.6) Gateways mit Remote Access VPN oder Mobile Access: Angreifer konnten Dateien vom Gateway lesen, darunter Passwort-Hashes lokaler Konten. Das Sicherheitsunternehmen mnemonic sah damals Angriffe ab dem 30. April 2024. Auch dort standen ältere Konten, die sich nur mit Passwort anmelden, besonders im Risiko. Die Lehre aus beiden Fällen: Was nur noch aus Kompatibilitätsgründen aktiv ist, wird früher oder später zum Angriffsziel.

Was Sie jetzt tun sollten

1. Hotfix einspielen. Installieren Sie den passenden Hotfix aus sk185033 so schnell wie möglich. Gateways mit nicht mehr unterstützten Versionen sollten auf eine unterstützte Version migriert werden.
2. Alte Verfahren abschalten, wenn der Hotfix nicht sofort möglich ist: ältere Clients nicht mehr zulassen, Remote Access VPN in den globalen Einstellungen auf IKEv2 beschränken und Maschinenzertifikate verpflichtend machen. Prüfen Sie vorher, welche Clients und Anwendungsfälle noch auf IKEv1 angewiesen sind.
3. IPS aktivieren und die neuesten Signaturen laden. Das hilft bei der Erkennung, ersetzt aber nicht den Hotfix.
4. Logs ab dem 7. Mai prüfen. Gleichen Sie Verbindungen mit den IP-Adressen aus der Indikatorenliste von Check Point ab – sie wurde nach der Veröffentlichung mehrfach erweitert. Achten Sie auf VPN-Sitzungen mit unbekannten Benutzern oder ungewöhnlichen Quell-IPs.
5. Im Verdachtsfall von einer Kompromittierung ausgehen: Sitzungen beenden, Zugangsdaten zurücksetzen und prüfen, ob vom Gateway aus Dateien nachgeladen oder interne Systeme angesprochen wurden. Check Point bietet dafür Unterstützung durch den Support an.

Was das für den Schutz von Firewalls bedeutet

CVE-2026-50751 zeigt eine unbequeme Seite der Netzwerksicherheit: Die Firewall selbst ist mit ihrem VPN-Zugang ein öffentlich erreichbarer Dienst. Eine Lücke darin hebelt aus, was dahinter an Regeln und Anmeldeverfahren aufgebaut wurde. Zwischen dem ersten Angriff und dem Hotfix lag in diesem Fall rund ein Monat.

NetProtector ergänzt die Firewall an dieser Stelle um eine eigene Schutzschicht. Die Appliance wird vor der Firewall in die Leitung gesetzt und bewertet den Traffic, bevor er das VPN-Gateway erreicht:

• Bekannte Angreifer-Quellen bleiben draußen. Angriffe wie dieser laufen über Server, die von denselben Akteuren immer wieder für verschiedene Ziele genutzt werden. Adressen, die im NetProtector-Sensornetz bereits als Angreifer aufgefallen sind, werden gesperrt, bevor sie Ihr Gateway ansprechen.
• Auffälliges wird sichtbar. Scans nach VPN-Diensten, gehäufte Verbindungsversuche oder untypische Zugriffsmuster erkennt NetProtector als Anomalien. Alarme lassen sich an bestehende Systeme wie SIEM oder Ticketsystem weitergeben, damit Ihr Sicherheitsteam sie dort sieht, wo es ohnehin arbeitet.
• Eine zusätzliche Schicht, kein Ersatz. NetProtector ersetzt weder Hotfix noch Konfigurationsänderung und macht eine bereits aufgebaute Angreifer-Sitzung nicht ungeschehen. Es reduziert aber die Angriffe, die das Gateway in der Zeit bis zum Patch überhaupt erreichen.

Welche Reaktionen NetProtector automatisieren kann und wie es sich in vorhandene Sicherheitswerkzeuge einfügt, erklären wir auf der Seite So funktioniert NetProtector.

Unsere Einschätzung

Der Fall ist weniger eine Frage des Herstellers als eine Frage der Altlasten. IKEv1 gilt seit Jahren als veraltet, bleibt aber in vielen Netzen aktiv, weil irgendwo noch ein älterer Client daran hängt. Jede solche Ausnahme ist Angriffsfläche. Wer seine VPN-Zugänge schützen will, sollte deshalb regelmäßig prüfen, welche Protokolle und Anmeldewege wirklich gebraucht werden, Updates zügig einspielen, Anmeldungen überwachen – und vor der Firewall eine Schicht einziehen, die bekannte Angreifer gar nicht erst bis zum Gateway lässt.

Quellen

• Check Point Blog: Security Advisory – Action Required – Active Exploitation of Check Point VPN Authentication Bypass
• Check Point Support: sk185033 – CVE-2026-50751
• Rapid7: Critical Check Point VPN Zero-Day Exploited in the Wild (CVE-2026-50751)
• SecurityWeek: Check Point VPN Zero-Day Exploited in Qilin Ransomware Attacks
• mnemonic: Advisory – Check Point Remote Access VPN vulnerability (CVE-2024-24919)