SecBoard
Zurück zur CVE-Übersicht

CVE-2026-50751

CRITICAL(9.3)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N

Risk Signal Score79/100 — KRITISCH
  • CVSS 9.3 — Kritisch
  • EPSS 85% — sehr wahrscheinlich ausgenutzt
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

Erwähnungen (letzte 60 Tage)

Artikel

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

85.3%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.3

Technische Schwere

SecBoard-Einordnung

CVE-2026-50751 beschreibt eine kritische logische Schwachstelle in der Zertifikatsvalidierung von Remote Access und Mobile Access, die den veralteten IKEv1-Schlüsselaustausch nutzt. Diese Schwachstelle ermöglicht es einem nicht authentifizierten, entfernten Angreifer, die Benutzerauthentifizierung zu umgehen und eine Remote-Access-VPN-Verbindung ohne gültiges Benutzerpasswort herzustellen. Die Hauptauswirkung ist der unbefugte Zugriff auf VPN-Verbindungen.

Mit einem CVSS-Score von 9.3 (CRITICAL) und einer EPSS-Wahrscheinlichkeit von 83% ist diese Schwachstelle als extrem hoch einzustufen. Besonders besorgniserregend ist die Aufnahme in den () Katalog, was bedeutet, dass CVE-2026-50751 aktiv ausgenutzt wird. Dies unterstreicht die Dringlichkeit der Bedrohung und das hohe Risiko für betroffene Systeme.

Security-Teams sollten umgehend Maßnahmen ergreifen, um diese Schwachstelle zu adressieren. Da die Schwachstelle den veralteten IKEv1-Schlüsselaustausch betrifft, sollte die Deaktivierung von IKEv1 oder die Umstellung auf sicherere Alternativen wie IKEv2 priorisiert werden. Eine Überprüfung der Konfigurationen von Remote Access und Mobile Access ist dringend erforderlich, um das Risiko eines unbefugten Zugriffs zu minimieren.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

A logic flow weakness in Remote Access and Mobile Access certificate validation in deprecated IKEv1 key exchange allows an unauthenticated remote attacker to bypass user authentication and establish a remote access VPN connection without a valid user password.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). Check Point Research hat eine aktive Ausnutzung von CVE-2026-50751 identifiziert. Die beobachtete Ausnutzung war auf einige Dutzend gezielte Organisationen weltweit beschränkt. Ein Fall umfasste bestätigte Post-Kompromittierungsaktivitäten, die mit einem Qilin-Ransomware-Ableger in Verbindung gebracht wurden.

Threat-Hunting-Queries

Diese Abfragen suchen nach ungewöhnlichen oder fehlgeschlagenen Anmeldeversuchen, die auf eine Umgehung der Authentifizierung hindeuten könnten, insbesondere im Kontext von VPN-Verbindungen mit IKEv1.

Sentinel/Defender KQL

SecurityEvent
| where EventID == 4625 or EventID == 4624 // Failed and successful logins
| where SubjectUserName has "VPN" or ProcessName has "ikev1" // Adjust based on VPN client/server logs
| summarize count() by SubjectUserName, IpAddress, ResultDescription // Look for anomalies

Splunk SPL

index=your_vpn_logs ("failed login" OR "authentication bypass") (ikev1 OR "remote access")
| stats count by user, src_ip, result
| sort -count

Sigma

title: Check Point IKEv1 Authentication Bypass Attempt
status: experimental
description: Detects potential exploitation attempts of CVE-2026-50751 by looking for unusual VPN login patterns or authentication bypass indicators related to IKEv1.
logsource:
  category: firewall
  product: checkpoint
detection:
  selection:
    event_type: "vpn_login"
    authentication_result: "failed"
    protocol: "IKEv1"
  condition: selection
fields:
  - user
  - source_ip
  - authentication_result
falsepositives:
  - Legitimate failed logins (requires tuning)
level: high

Elastic ES|QL

from logs-checkpoint.*
| where event.category == "network" and event.type == "start" and event.dataset == "vpn"
| where message : "authentication bypass" or message : "IKEv1" and not message : "successful authentication"
| stats count() by user.name, source.ip, event.outcome
| sort - count

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Referenzen