Beim Check Point VPN sind laut Hinweisstellen schwere Sicherheitslücken entdeckt worden, die bereits aktiv missbraucht werden. Das bedeutet: Angreifer können die Schwachstellen gegen Ziele einsetzen, noch bevor viele Organisationen ihre Systeme vollständig abgesichert haben. Das Vorgehen ist für Admins und IT-Leitung jetzt klar: Updates zeitnah einspielen, Expositionsflächen prüfen und verdächtige Aktivitäten überwachen.
Im Zentrum des aktuellen Hinweises stehen zwei Schwachstellen, die mit den Kennungen CVE-2026-50751 und CVE-2026-50752 beschrieben werden. Beide hängen mit dem veralteten IKEv1-Protokoll zusammen, das für den Aufbau bestimmter VPN-Verbindungen verwendet wird.
Was ist passiert und warum ist das so kritisch?
Der Sicherheitsvorfall bezieht sich auf Remote- und Mobile-Access-VPN-Produkte von Check Point. Solche Lösungen helfen Unternehmen dabei, Mitarbeitenden oder externen Nutzern eine abgesicherte Verbindung ins Unternehmensnetz zu ermöglichen. Genau diese Verbindung kann jedoch zur Angriffsfläche werden, wenn Schwachstellen in der VPN-Kommunikation ausgenutzt werden.
Besonders relevant: Für CVE-2026-50751 wird ein Zero-Day beschrieben, dessen Missbrauch bereits aktiv beobachtet wurde. Zusätzlich steigt dadurch das Risiko, dass weitere Systeme in kurzer Zeit kompromittiert werden.
Welche Schwachstellen sind betroffen?
Im Hinweis werden zwei Lücken genannt, die in Zusammenhang mit IKEv1 stehen und unterschiedliche Angriffswege ermöglichen:
- CVE-2026-50751 (Zero-Day): Diese Schwachstelle wird bereits aktiv ausgenutzt. Angreifer können sich – ohne gültige Zugriffsrechte – in das VPN-System einbringen. In bestimmten Fällen wird zudem das Platzieren von Ransomware erwähnt.
- CVE-2026-50752: Auch hier kann es zu unautorisierter Zugriffsaufnahme kommen. Genannt werden Probleme rund um VPN-Authentifizierung und Zertifikatsprüfung, die Angreifer ausnutzen können.
Für CVE-2026-50751 wird zudem eine CVSS-Einstufung von 7,4 genannt. Eine solche Bewertung deutet darauf hin, dass die Auswirkungen ernst sind—unter anderem, weil unbefugter Zugriff auf interne Systeme möglich sein kann.
Wie kann ein Angriff über das VPN ablaufen?
Der entscheidende Punkt ist das verwendete IKEv1-Protokoll. Da dieses Protokoll als veraltet gilt und bekannte Schwachstellen enthält, kann ein Angreifer die Kommunikation so beeinflussen, dass Sicherheitskontrollen umgangen werden.
Im Kontext der genannten CVEs bedeutet das: Das VPN kann zum Einfallstor werden, über das ein Angreifer in das Unternehmensumfeld eindringt. Von dort aus können dann weitere Schritte folgen—beispielsweise das Ausrollen von Schadsoftware oder das Vorbereiten von späteren Zugriffen.
Welche Folgen drohen bei erfolgreichem Missbrauch?
Wenn die Lücken nicht zeitnah geschlossen werden, können Angreifer Zugriff über die VPN-Verbindung auf das Unternehmensnetz erhalten. Daraus können sich mehrere Risiken ergeben:
- Datenabfluss und Datenschutzvorfälle durch unbefugten Zugriff
- Störungen von Geschäftsprozessen, etwa durch Ausfall oder Manipulation von Systemen
- Installation von Schadsoftware bis hin zu Ransomware (für CVE-2026-50751 wird das explizit genannt)
Gerade weil sich der Missbrauch bereits beobachten lässt, ist der Zeitfaktor entscheidend: Je länger betroffene Systeme online sind, desto höher ist die Wahrscheinlichkeit, dass Angreifer die Gelegenheit weiter nutzen.
Welche Versionen sind betroffen?
Welche konkreten Produktversionen betroffen sind, lässt sich nicht pauschal für alle Umgebungen beantworten. Der Hinweis empfiehlt daher, eine Versionsprüfung anhand einer Tabelle auf der Herstellerseite vorzunehmen.
Wenn Sie nicht sicher sind, welche Version Ihrer Check Point VPN-Komponenten im Einsatz sind, sollten Sie das kurzfristig im Systeminventar nachziehen—oder Ihre IT-Dienstleister einbinden. So vermeiden Sie, dass Updates nur „vorsorglich“ geplant werden, obwohl eine betroffene Version bereits produktiv genutzt wird.
Was sollten Sie jetzt konkret tun?
Der Kern des NCSC-Hinweises ist eindeutig: Updates und Hotfixes von Check Point so schnell wie möglich installieren. Das gilt besonders, weil für CVE-2026-50751 bereits ein aktiver Missbrauch beschrieben wird.
1) Hotfixes zeitnah einspielen
Prüfen Sie in Ihrem Change-Prozess, welche Wartungsfenster für die Installation der von Check Point bereitgestellten Fixes verfügbar sind. Planen Sie die Umsetzung priorisiert, da die Risiken aus einer laufenden Ausnutzung entstehen.
2) IOCs zur Erkennung nutzen
Der Hinweis nennt außerdem, dass Indicators of Compromise (IOCs) bereitgestellt wurden, um Missbrauch zu erkennen. Nutzen Sie diese Informationen, um in relevanten Logs nach Anzeichen zu suchen—z. B. in VPN-Logs, Authentifizierungsereignissen oder Systemereignissen, die mit der VPN-Nutzung zusammenhängen.
3) Unterstützung durch den IT-Dienstleister einholen
Falls Sie intern nicht ausreichend Kapazitäten für schnelle Updates und die forensische/monitoring-seitige Prüfung haben, lohnt sich die Eskalation an Ihren IT-Dienstleister. So können Sie sowohl die Aktualisierung als auch die Detektion strukturiert durchführen.
4) Betroffene Systeme priorisieren
Führen Sie eine kurze Risikoabschätzung durch: Welche VPN-Endpoints oder Gateways sind für externe Zugriffe zuständig? Welche sind besonders exponiert? Starten Sie die Maßnahmen zuerst bei den Systemen, die den höchsten Zugriffsdurchsatz haben oder direkt dem Internet bereitgestellt werden.
Wie Sie die Situation im Unternehmen kommunizieren
Auch organisatorisch ist jetzt Tempo gefragt. Informieren Sie die relevanten Rollen—IT-Betrieb, Security-Team und gegebenenfalls Geschäftsführung—über den Status: Welche Systeme sind identifiziert, welche Updates sind terminiert, und welche Erkennungsmaßnahmen laufen bereits?
So verhindern Sie, dass sich die Lage nur „intern“ verschiebt. Gleichzeitig schaffen klare Verantwortlichkeiten die Grundlage, um die Umsetzung nachzuverfolgen und bei Verzögerungen nachzusteuern.
Fazit: Check Point VPN schnell absichern
Zusammengefasst zeigt der aktuelle Hinweis eine ernste Lage rund um Check Point VPN: Es gibt zwei Schwachstellen (CVE-2026-50751 und CVE-2026-50752), die mit dem veralteten IKEv1-Protokoll in Verbindung stehen. Besonders kritisch ist, dass für die Zero-Day-Lücke CVE-2026-50751 bereits aktiver Missbrauch beschrieben wird.
Setzen Sie daher jetzt konsequent auf die empfohlenen Schritte: Hotfixes zeitnah einspielen, anhand der Versionen prüfen, ob Ihre Systeme betroffen sind, IOCs zur Detektion verwenden und bei Unsicherheit Unterstützung durch Ihren IT-Dienstleister holen. So reduzieren Sie das Risiko, dass Angreifer über das VPN in Ihr Unternehmensnetz eindringen.
Quelle: https://www.ncsc.nl/alerts/ernstige-kwetsbaarheden-in-check-point-remote-and-mobile-access-vpn
