Sicherheitswarnungen · 12. November 2026
Check Point Firewalls: Angreifer verschaffen sich über neue Lücke volle Kontrolle
Angreifer kombinieren die PHP2Shell-Lücke im Mobile-Access-Portal mit einem neuen Fehler im Betriebssystem Gaia und erhalten so volle Rechte auf Check Point Gateways. Check Point hat ein Update veröffentlicht.
Worum es geht
Check Point Gaia (Security Gateways und Management Server)
Check Point hat am 12. November eine Lücke in Gaia geschlossen, dem Betriebssystem seiner Firewalls und Management Server. Ein interner Dienst für Befehle nimmt Aufträge von jedem Programm auf dem Gerät entgegen, ohne zu prüfen, wer sie schickt. Wer bereits eingeschränkten Zugriff auf das Gerät hat, kann dadurch Befehle mit vollen Administratorrechten ausführen.
Für den ersten Zugriff nutzen die Angreifer die bekannte PHP2Shell-Lücke im Mobile-Access-Portal, über das Mitarbeiter von außen auf das Firmennetz zugreifen. Laut Check Point wurde diese Kette bei einigen Dutzend Kunden ausgenutzt. Danach haben die Täter Hintertüren auf den Gateways eingerichtet und in einzelnen Fällen von dort aus Daten auf VMware-ESXi-Servern zerstört. Die US-Behörde CISA führt die Lücke seit 13. November als aktiv ausgenutzt.
Betroffen sind laut Check Point die Gaia-Versionen R82.20, R82.10, R82 und R81.20. Die Lücke allein ist als hoch eingestuft, gefährlich wird sie durch die Kombination mit PHP2Shell. Eine angegriffene Firewall kann Angreifern einen dauerhaften Zugang ins Firmennetz verschaffen, auch wenn das Update später eingespielt wird.
Betroffen
- Check Point Gaia R82.20, R82.10, R82 und R81.20 (Security Gateways, Security Management und Multi-Domain Server)
Behoben
- November Jumbo Hotfix von Check Point für die jeweilige Version
Was jetzt zu tun ist
Die nächsten Schritte.
- 01
Klären, ob im Unternehmen oder beim IT-Dienstleister Check Point Firewalls oder Management Server im Einsatz sind.
- 02
Den November Jumbo Hotfix auf allen Gateways und Management Servern einspielen, zuerst auf Geräten mit aus dem Internet erreichbarem Mobile-Access-Portal.
- 03
Prüfen, ob auch das Update gegen PHP2Shell installiert ist, das Check Point seit 23. Oktober anbietet.
- 04
Ist ein sofortiges Update nicht möglich, die von Check Point beschriebene Übergangslösung umsetzen oder das Mobile-Access-Portal vorübergehend vom Internet trennen.
- 05
Die Geräte anhand der Hinweise von Check Point auf Spuren eines Angriffs untersuchen lassen und bei Verdacht den Check Point Support einbinden.
- 06
Bei einem Verdacht auch Zugangsdaten für VPN und Verwaltung ändern und die Datensicherung der Virtualisierungsserver prüfen.
Unterstützung
Unsicher, ob Sie betroffen sind?
Wir prüfen Ihre Systeme, spielen die Updates ein und suchen nach Spuren eines Angriffs. Sie bekommen eine klare Antwort: betroffen oder nicht. Betreuungskunden müssen nichts tun, wir kümmern uns bereits darum.
Veröffentlicht am 12. November 2026. Grundlage: Check Point · BleepingComputer · CISA. Von uns in eigenen Worten zusammengefasst; verbindlich sind die Hinweise des Herstellers. Alle Sicherheitswarnungen
Passend dazu