Das BSI hat am 9. Juni 2026 einen Sicherheitshinweis (BITS-H Nr. 2026-263373-1032) zu einer aktiv ausgenutzten Schwachstelle in Check Point Remote Access VPN und Mobile Access herausgegeben. Die Schwachstelle CVE-2026-50751 erreicht nach CVSS 3.1 einen Score von 9.3 und ist damit als „kritisch“ eingestuft. Check Point hat am 8. Juni 2026 Hotfixes bereitgestellt, die sofortige Anwendung ist dringend erforderlich.

Was ist die Schwachstelle?

CVE-2026-50751 steckt in einem Logik-Fehler bei der Zertifikatsüberprüfung im veralteten IKEv1-Schlüsselaustauschprotokoll (Internet Key Exchange Version 1). Ein nicht authentifizierter Angreifer aus dem Internet kann diesen Fehler ausnutzen, um eine vollständige VPN-Verbindung aufzubauen, ohne ein gültiges Benutzerpasswort zu kennen. Die Authentifizierung wird damit vollständig umgangen. Mit dem initialen Netzwerkzugang sind anschließend weiterführende Angriffe wie Lateral Movement, Datenabfluss oder der Einsatz von Ransomware möglich.
Betroffen sind Systeme, bei denen alle vier der folgenden Bedingungen gleichzeitig zutreffen:

VPN-Fernzugriff oder mobiler Zugriff ist aktiviert
IKEv1 ist für den Fernzugriff aktiviert
Gateways akzeptieren ältere Fernzugriffsclients
Gateways erfordern kein Computerzertifikat für Verbindungen

Im Zuge der Vorfallsuntersuchung wurde eine zweite Schwachstelle gefunden: CVE-2026-50752 (CVSS 7.4). Sie betrifft ebenfalls die Zertifikatsüberprüfung im IKEv1-Schlüsselaustausch und erlaubt einem nicht authentifizierten Angreifer mit Man-in-the-Middle-Position, Site-to-Site-VPN-Verbindungen mitzulesen oder zu manipulieren. Eine aktive Ausnutzung wurde bislang nicht beobachtet.

Aktive Ausnutzung und Ransomware-Verbindung

Laut BSI-Sicherheitshinweis werden Angriffe seit mindestens Anfang Mai 2026 beobachtet. Das bedeutet, dass Angreifer möglicherweise bereits seit Wochen Zugriff auf interne Netzwerke betroffener Organisationen haben, sofern die verwundbare Konfiguration aktiv war. In mindestens einem Fall wurden Aktivitäten beobachtet, die mit einem Affiliate der Ransomware-Gruppe Qilin in Verbindung gebracht werden. Check Point stellte dabei eine Überschneidung zwischen Qilin-Linux-Ransomware-Binaries und Versuchen fest, bösartige ELF-Dateien von Angreifer-Infrastruktur herunterzuladen.
Technische Details oder ein funktionsfähiger Exploit sind bislang nicht öffentlich verfügbar. Das BSI geht jedoch davon aus, dass innerhalb kurzer Zeit weitere Angreifer die Schwachstelle, gegebenenfalls mithilfe KI-generierter Exploits, ausnutzen werden. Weitere Ransomware-Vorfälle sind daher möglich.

Betroffene Produkte und Versionen

Betroffen sind Check Point Remote Access VPN, Mobile Access und Spark Firewall mit aktiviertem IKEv1-Schlüsselaustausch in folgenden Versionen:
Sicherheitsgateways:

• R82.10 Jumbo Hotfix Take 19 oder niedriger
• R82 Jumbo Hotfix Take 103 oder niedriger
• R81.20 Jumbo Hotfix Take 141 oder niedriger
• R81.10 (End of Support)
• R81 (End of Support)
• R80.40 (End of Support)
• R80.20.X (End of Support)

Spark Firewalls:

• R81.10.X
• R82.00.X

Vier der betroffenen Versionszweige haben bereits ihr End of Support erreicht. Organisationen auf diesen Versionen sollten zusätzlich zur Patch-Installation die Migration auf eine unterstützte Version einplanen.

Mögliche IOC’s

Das BSI nennt folgende Angreifer-IP-Adressen aus den beobachteten Ausnutzungen:
45.77.149[.]152, 209.182.225[.]136, 38.60.157[.]139, 162.33.177[.]101, 45.76.26[.]42, 144.208.127[.]155, 38.54.88[.]201, 38.54.107[.]167, 66.42.99[.]200

Folgende Datei-Hashwerte (MD5) sind als Indikatoren bekannt:
52fda5c1b9704544f32ee98d9060e689, 51d39aa39478beeac94f2d12f682ecce