Check Point-sårbarhed tilføjet til CISA’s KEV-katalog

CISA har beordret føderale myndigheder til at sikre systemer, der er påvirket af en Check Point-sårbarhed, som angribere aktivt udnytter i ransomwareangreb. Den amerikanske cybersikkerhedsmyndighed har tilføjet sårbarheden til sin Known Exploited Vulnerabilities (KEV)-katalog efter at have bekræftet, at trusselsaktører anvender den i virkelige angreb.

Beslutningen betyder, at myndigheder under Federal Civilian Executive Branch skal sikre de berørte systemer senest den 11. juni i henhold til Binding Operational Directive 22-01. CISA bruger KEV-kataloget til at fremhæve sårbarheder, der udgør en umiddelbar risiko for offentlige netværk, og anbefaler ofte også private organisationer at prioritere de samme sikkerhedsfejl.

Angribere udnytter svaghed i VPN-autentificering

Sårbarheden, der spores som CVE-2026-50751, påvirker flere Check Point-produkter, som anvender den ældre VPN-protokol IKEv1.

Forskere opdagede, at angribere kan udnytte fejlen til at omgå autentificering og opnå VPN-adgang uden gyldige loginoplysninger. Denne adgang kan give en indgang til virksomhedsnetværk og skabe muligheder for yderligere skadelig aktivitet.

Check Point klassificerede sårbarheden som kritisk og offentliggjorde sikkerhedsopdateringer efter at have identificeret aktive forsøg på udnyttelse.

Forskere forbinder angrebene med ransomwareaktivitet

Sikkerhedsforskere, der undersøgte angrebene, fandt beviser, som knytter udnyttelsen af sårbarheden til en affiliate af ransomwaregruppen Qilin.

Ifølge rapporterne brugte angriberne sårbarheden til at opnå indledende adgang til målmiljøer, før de gennemførte yderligere aktiviteter. Selvom forskerne ikke har knyttet alle angreb til en bestemt gruppe, øger forbindelsen til ransomwareoperationer trusselsniveauet markant for organisationer, der anvender sårbare systemer.

Ransomwaregrupper retter ofte fokus mod VPN-infrastruktur, fordi den kan give direkte adgang til interne netværk uden behov for phishingkampagner eller stjålne legitimationsoplysninger.

CISA fastsætter føderal frist for opdatering

Ved at tilføje sårbarheden til KEV-kataloget har CISA formelt bekræftet, at angribere allerede udnytter fejlen i aktive angreb.

Føderale myndigheder skal installere tilgængelige opdateringer eller implementere anbefalede sikkerhedsforanstaltninger senest den 11. juni. CISA fastsætter sådanne frister for at reducere eksponeringen i offentlige netværk og begrænse mulighederne for, at angribere kan misbruge kendte sårbarheder.

Selvom direktivet kun gælder føderale myndigheder, opfordrer cybersikkerhedseksperter ofte private organisationer til at behandle alle KEV-opførte sårbarheder som højprioriterede opdateringsopgaver.

Organisationer bør gennemgå eksponerede systemer

Check Point har allerede offentliggjort opdateringer og vejledning til beskyttelse af de berørte produkter. Organisationer bør identificere systemer, der anvender den sårbare konfiguration, og installere opdateringerne hurtigst muligt.

Sikkerhedsteams bør også gennemgå VPN-logs og autentificeringshændelser for at opdage usædvanlig aktivitet. Da angribere allerede har udnyttet sårbarheden i virkelige angreb, kan ingen organisation antage, at upatchede systemer er uberørte.

En hurtig undersøgelse kan hjælpe med at identificere uautoriseret adgang, før angriberne etablerer vedvarende adgang eller implementerer ransomware.

Konklusion

Check Point-sårbarheden har udviklet sig til et alvorligt sikkerhedsproblem, efter at angribere begyndte at udnytte den i ransomware-relaterede angreb. CISA’s beslutning om at tilføje fejlen til KEV-kataloget understreger truslens alvor og den potentielle påvirkning af eksponerede organisationer.

Da aktiv udnyttelse allerede finder sted, bør organisationer prioritere opdatering af berørte systemer og samtidig undersøge deres netværk for tegn på kompromittering.