Check-Point-Schwachstelle in CISA-KEV-Katalog aufgenommen

CISA hat Bundesbehörden angewiesen, Systeme abzusichern, die von einer Check-Point-Schwachstelle betroffen sind, welche Angreifer aktiv in Ransomware-Angriffen ausnutzen. Die US-Cybersicherheitsbehörde hat die Sicherheitslücke in ihren Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen, nachdem sie bestätigt hatte, dass Bedrohungsakteure die Schwachstelle bereits bei realen Angriffen einsetzen.

Durch diese Entscheidung müssen Behörden der Federal Civilian Executive Branch die betroffenen Systeme bis zum 11. Juni gemäß der Binding Operational Directive 22-01 absichern. CISA nutzt den KEV-Katalog, um auf Schwachstellen aufmerksam zu machen, die ein unmittelbares Risiko für Regierungsnetzwerke darstellen, und empfiehlt häufig auch privaten Organisationen, dieselben Sicherheitslücken mit hoher Priorität zu behandeln.

Angreifer nutzen Schwachstelle in der VPN-Authentifizierung aus

Die Schwachstelle mit der Kennung CVE-2026-50751 betrifft mehrere Check-Point-Produkte, die das ältere VPN-Protokoll IKEv1 verwenden.

Forscher stellten fest, dass Angreifer die Schwachstelle ausnutzen können, um die Authentifizierung zu umgehen und VPN-Zugriff ohne gültige Anmeldedaten zu erhalten. Dieser Zugriff kann als Einstiegspunkt in Unternehmensnetzwerke dienen und weitere bösartige Aktivitäten ermöglichen.

Check Point bewertete die Sicherheitslücke als kritisch und veröffentlichte Sicherheitsupdates, nachdem aktive Ausnutzungsversuche festgestellt wurden.

Forscher bringen Angriffe mit Ransomware in Verbindung

Sicherheitsforscher, die die Angriffe untersuchten, fanden Hinweise darauf, dass die Ausnutzung der Schwachstelle mit einem Partner der Ransomware-Gruppe Qilin in Verbindung steht.

Berichten zufolge nutzten die Angreifer die Schwachstelle, um sich zunächst Zugang zu den Zielumgebungen zu verschaffen, bevor sie weitere Aktivitäten durchführten. Obwohl die Forscher nicht jeden Angriff einer bestimmten Gruppe zuordnen konnten, erhöht die Verbindung zu Ransomware-Operationen das Risiko für Organisationen mit anfälligen Systemen erheblich.

Ransomware-Gruppen greifen häufig VPN-Infrastrukturen an, weil diese direkten Zugang zu internen Netzwerken ermöglichen, ohne dass Phishing-Kampagnen oder gestohlene Zugangsdaten erforderlich sind.

CISA setzt Frist für Sicherheitsupdates

Mit der Aufnahme der Schwachstelle in den KEV-Katalog hat CISA offiziell bestätigt, dass Angreifer die Sicherheitslücke bereits aktiv ausnutzen.

Bundesbehörden müssen verfügbare Updates installieren oder empfohlene Schutzmaßnahmen bis zum 11. Juni umsetzen. Solche Fristen sollen die Angriffsfläche in Regierungsnetzwerken reduzieren und die Möglichkeiten zur Ausnutzung bekannter Schwachstellen einschränken.

Obwohl die Vorgabe ausschließlich für Bundesbehörden gilt, empfehlen Cybersicherheitsexperten privaten Unternehmen häufig, alle im KEV-Katalog aufgeführten Schwachstellen als dringende Patch-Prioritäten zu behandeln.

Organisationen sollten exponierte Systeme überprüfen

Check Point hat bereits Sicherheitsupdates und Handlungsempfehlungen für die betroffenen Produkte veröffentlicht. Organisationen sollten identifizieren, welche Systeme die anfällige Konfiguration verwenden, und die verfügbaren Updates so schnell wie möglich installieren.

Sicherheitsteams sollten außerdem VPN-Protokolle und Authentifizierungsdaten auf ungewöhnliche Aktivitäten überprüfen. Da die Schwachstelle bereits in realen Angriffen ausgenutzt wurde, können Organisationen nicht davon ausgehen, dass ungepatchte Systeme unbeeinträchtigt geblieben sind.

Eine schnelle Untersuchung kann helfen, unbefugte Zugriffe zu erkennen, bevor Angreifer dauerhaften Zugriff etablieren oder Ransomware einsetzen.

Fazit

Die Check-Point-Schwachstelle hat sich zu einem dringenden Sicherheitsproblem entwickelt, nachdem Angreifer begonnen haben, sie bei Ransomware-Angriffen auszunutzen. Die Entscheidung von CISA, die Sicherheitslücke in den KEV-Katalog aufzunehmen, unterstreicht die Schwere der Bedrohung und die möglichen Auswirkungen auf betroffene Organisationen.

Da die aktive Ausnutzung bereits läuft, sollten Organisationen die Aktualisierung betroffener Systeme priorisieren und ihre Netzwerke gleichzeitig auf Anzeichen einer Kompromittierung untersuchen.