Aktive Angriffe auf F5 BIG-IP, Check Point und Arista VeloCloud
Mehrere IT-Sicherheitsbehörden warnen vor laufenden Angriffen auf kritische Lücken in gleich drei Produktfamilien am Netzwerk: F5 BIG-IP APM, Check Point Security Gateway und Management sowie Arista VeloCloud Orchestrator On-Premise. Alle betroffenen Lücken sind aus der Ferne und ohne Anmeldung ausnutzbar, mehrere erreichen kritische CVSS-Werte bis 9.8. Wer solche Geräte betreibt, sollte die bereitgestellten Hotfixes sofort einspielen und zugleich prüfen, ob einer der Schwachstellen bereits ausgenutzt wurde.
Was ist passiert
Am 22. September 2026 hat die US-Behörde CISA vier aktiv ausgenutzte Schwachstellen in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen: zwei in Check-Point-Produkten, eine in Arista VeloCloud und eine in F5 BIG-IP APM. US-Bundesbehörden müssen bis zum 25. September 2026 reagieren, angeordnet über die Direktive BOD 26-04, und zusätzlich eine forensische Prüfung durchführen. Auch das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor dem Missbrauch. Alle vier Produkte sitzen am Netzwerkrand oder in den Systemen, die ihn verwalten. Eine Übernahme wiegt daher schwer, weil ein Angreifer von dort tief ins interne Netz vordringen kann.
Die betroffenen Produkte und Lücken
- Check Point Security Gateway und Spark Firewall: CVE-2026-85102 (CVSS 9.8, kritisch). Eine fehlerhafte Zertifikatsprüfung im VPN-Handling, sowohl bei Site-to-Site, als auch bei Remote-Access-VPN, erlaubt einem nicht authentifizierten Angreifer aus dem Netz die Ausführung von Schadcode auf dem Gateway. Updates stehen laut Hersteller seit dem 9. September bereit, Angriffe beobachtet Check Point global seit dem 12. September. Eine zweite Check-Point-Lücke, CVE-2026-93616, betrifft einen Path-Traversal-Fehler.
- F5 BIG-IP APM: CVE-2026-94127 (CVSS 9.8, kritisch). Ein Heap-basierter Bufferoverflow greift, wenn auf einem virtuellen Server eine Zugriffsrichtlinie zusammen mit einem OAuth-Profil konfiguriert ist und BIG-IP APM als OAuth-Autorisierungsserver dient. Präparierter Datenverkehr führt dann ohne Anmeldung zur Codeausführung. Die Lücke wurde als Zero-Day ausgenutzt. F5 liefert in seiner Meldung IOC und Hotfixes sowie temporäre Gegenmaßnahmen.
- Arista VeloCloud Orchestrator On-Premise: CVE-2026-93952, eine unzureichende Eingabeprüfung mit der höchstmöglichen Risikoeinstufung. Der Orchestrator ist die zentrale Verwaltung für VeloCloud-SD-WANs, über die Zweigstellen, Rechenzentren und Cloud-Umgebungen verbunden werden.
Wer ist betroffen
Gefährdet ist jede Organisation, die eines dieser Perimeter-Produkte betreibt, besonders wenn die Verwaltungsoberflächen aus dem Internet erreichbar sind. Da es sich um Rand- und Verwaltungsgeräte handelt, ist eine Übernahme gravierend. Bei VeloCloud kann ein Angreifer über den Orchestrator zudem an die angebundenen Edge-Geräte gelangen.
- Die von den Herstellern bereitgestellten Hotfixes und Updates umgehend einspielen.
- Wo ein Fix noch nicht sitzt, die temporären Gegenmaßnahmen der Hersteller anwenden, etwa die von F5 genannte iRule.
- Verwaltungsoberflächen nicht breiter aus dem Internet erreichbar machen als nötig und den Zugriff auf vertrauenswürdige Netze beschränken.