Kritische VPN-Schwachstelle wird aktiv ausgenutzt
Der Sicherheitssoftwareanbieter Check Point warnt vor aktiven Angriffen auf eine kritische Schwachstelle in der firmeneigenen VPN-Software. Die als CVE-2026-50751 klassifizierte Lücke erhält einen CVSS-Score von 9.3 und wird als kritisches Sicherheitsrisiko eingestuft. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine entsprechende Warnung herausgegeben.
Die Schwachstelle ermöglicht es nicht angemeldeten Angreifern aus dem Netzwerk, die Authentifizierung zu umgehen und VPN-Verbindungen ohne gültiges Passwort aufzubauen. Betroffen sind Check Point Remote Access VPN, Mobile Access und Spark Firewall.
Technische Details der Sicherheitslücke
Der Fehler liegt im veralteten IKEv1-Protokoll beim Schlüsseltausch. Bei Check Point Remote Access und Mobile Access tritt ein Logikfehler in der Zertifikatsprüfung auf, den bösartige Akteure missbrauchen können. Dies ermöglicht es Angreifern, sich ohne gültige Anmeldedaten Zugang zu VPN-Verbindungen zu verschaffen.
Zusätzlich haben die IT-Sicherheitsforscher eine weitere Schwachstelle identifiziert: CVE-2026-50752 mit einem CVSS-Score von 7.4 (Risiko "hoch"). Diese ermöglicht es Angreifern in einer Man-in-the-Middle-Position, VPN-Traffic abzufangen oder zu manipulieren.
Angriffstimeline und Beobachtungen
Check Point hat am 4. Juni 2026 verdächtige Aktivitäten beobachtet. Die Untersuchung ergab, dass die Schwachstelle bereits seit dem 7. Mai 2026 attackiert wurde. Anfang Juni nahmen die Angriffsversuche deutlich zu.
Ransomware-Bande Qilin als Hauptverdächtiger
Mit mittlerer Sicherheit ordnet Check Point die Angriffe der finanziell motivierten Ransomware-Bande Qilin zu. Diese nutzt anscheinend das "Tox-Protokoll" für ihre Angriffe und operiert von einer Virtual Private Server (VPS)-Infrastruktur aus.
Besonders auffällig ist die geografische Nähe der Angriffe: Die Angreifer wählen VPS-Server in der Nähe ihrer Ziele aus. So attackierten sie beispielsweise Ziele in Taiwan von einer taiwanesischen Infrastruktur aus.
Weitere Angriffsziele
Nach erfolgreichen Angriffen fanden IT-Sicherheitsforscher Qilin-Ransomware-Binärdateien und beobachteten Download-Versuche von bösartigen ELF-Dateien aus von den Angreifern kontrollierter Infrastruktur. Check Point vermutet, dass Qilin auch hinter Angriffen auf VPN-Lösungen von Palo Alto Networks und Fortinet FortiClient EMS steckt.
Einordnung für die Sicherheitsbranche
Diese Attacken verdeutlichen erneut die kritische Bedeutung von VPN-Sicherheit in der modernen IT-Infrastruktur. Gerade in Zeiten verstärkter Remote-Arbeit sind VPN-Lösungen zu einem bevorzugten Angriffsziel geworden. Die Tatsache, dass eine etablierte Ransomware-Bande systematisch verschiedene VPN-Anbieter ins Visier nimmt, zeigt die Professionalisierung der Cyberkriminalität.
Für Unternehmen in der Sicherheitstechnik-Branche ist dies ein weiterer Beweis dafür, dass mehrschichtige Sicherheitskonzepte unerlässlich sind. Neben technischen Lösungen wie Zutrittskontrollsystemen und physischen Sicherheitsmaßnahmen müssen auch die digitalen Zugangswege entsprechend abgesichert werden.
Sofortige Gegenmaßnahmen erforderlich
Check Point empfiehlt als primäre Gegenmaßnahme die sofortige Installation von Software-Updates. Zusätzlich sollten Administratoren die Unterstützung für veraltete Remote-Access-Clientverbindungen deaktivieren, wie in der Aktualisierungsanleitung beschrieben.
Prüfung auf Kompromittierung
Das Unternehmen stellt Indicators of Compromise (IOC) zur Verfügung, mit denen Administratoren ihre Systeme auf Angriffsversuche untersuchen können. Diese Hinweise ermöglichen es, bereits erfolgte Angriffe zu identifizieren und entsprechende Bereinigungsmaßnahmen einzuleiten.
IT-Verantwortliche sollten ihre Systeme umgehend auf verdächtige Aktivitäten überprüfen, insbesondere ungewöhnliche VPN-Verbindungen oder Anmeldeversuche aus unbekannten geografischen Regionen.
Langfristige Sicherheitsstrategie
Dieser Vorfall unterstreicht die Notwendigkeit einer ganzheitlichen Sicherheitsstrategie. Unternehmen sollten nicht nur ihre VPN-Infrastruktur regelmäßig aktualisieren, sondern auch alternative Authentifizierungsmethoden implementieren und ihre Netzwerksegmentierung überprüfen.
Die Beobachtung, dass Angreifer geografisch nahe VPS-Infrastrukturen nutzen, zeigt zudem die Bedeutung von verhaltensbasierten Sicherheitsanalysen. Anomalieerkennung kann dabei helfen, solche gezielten Angriffe frühzeitig zu identifizieren.
Für die Sicherheitsbranche ist dies ein weiterer Weckruf, dass sowohl physische als auch digitale Sicherheitsmaßnahmen kontinuierlich weiterentwickelt werden müssen, um mit der sich entwickelnden Bedrohungslandschaft Schritt zu halten.
