Angreifer saßen zwei Monate in Check Points Firewall-Gehirn. Die Aktie stieg.

Der Grep, der den Juli verrät

Irgendwo in dieser Woche jagt ein Administrator einen einzeiligen Grep durch die Logdateien jener Maschine, die für das gesamte Unternehmen die Firewall-Richtlinien schreibt. Der Sicherheitshinweis von Check Point sieht genau das vor: Die Suche nach überlangen Login-Namen↗ zeigt einer Firma, ob ein Unbekannter über die Schwachstelle CVE-2026-93616 – eine vor der Authentifizierung ausnutzbare Pfadtraversierung (Path Traversal), bewertet mit 9,8 von 10 Punkten – ohne Passwort Skripte auf dem Management-Server ausführen konnte ¹. „Man muss die Firewall nicht knacken, wenn man ihr sagen kann, was sie zulassen soll“, sagt Aaron Beardslee, Manager für Bedrohungsforschung bei Securonix↗ ².

Diese Stellung hielten die Angreifer vom 23. Juli bis der Fix am 22. September landete↗ ¹³. In derselben Woche überschritt die Aktie ihren 200-Tage-Durchschnitt↗ ⁴.

Zwei Monate Stille, dann drei Tage Gesetz

Die US-Cybersicherheitsbehörde CISA setzte am 22. September beide Check-Point-Lücken, jede mit 9,8 bewertet, gemeinsam auf ihren Katalog bekannter, aktiv ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) und gab den US-Bundesbehörden unter der Weisung BOD 26-04 eine Frist bis zum 25. September↗ ³⁵. Das stille Zeitfenster des Herstellers währte zwei Monate ¹; das Behebungsfenster der Regierung währte drei Tage ³⁵.

Der Fix erreicht nicht alle. Betroffen ist jedes veraltete Release der Versionen R80 und R81, und keines davon wird noch unterstützt – die einzige Abhilfe ist ein Upgrade, kein Hotfix↗ ¹⁶. Ein Management-Server, der nur gerade so weit gepatcht wurde, dass er die separate VPN-Lücke des Septembers übersteht, bleibt weiter in der Reichweite dieses Bugs ⁶.

Exponiert sind Tausende von Gateways – nicht das Gehirn

Weltweit zählte man im Juni 2024 mehr als 13.000 aus dem Internet erreichbare Check-Point-Geräte – allesamt VPN-Gateways: die Angriffsfläche der Begleit-Schwachstelle CVE-2026-85102, nicht die der kompromittierten Management-Ebene ⁵. Diese Schwachstelle wurde am 9. September gepatcht, löste bis zum 10. September eine Warnung des niederländischen NCSC vor unmittelbar bevorstehender Ausnutzung aus und sorgte, nach Angaben von Lotem Finkelstein, Vizepräsident für Forschung bei Check Point, ab dem 12. September für eine Welle von Angriffsversuchen gegen Spark-Kunden↗ ⁷⁸. Management-Server sollen überhaupt nie aus dem Internet erreichbar sein ².

Deshalb unterscheiden sich die Greps. Gateway-Firmen prüfen ihre VPN-Logs rückwirkend bis zum 12. September↗ ⁵; Firmen mit Management-Server, deren Kiste ohnehin erreichbar war, durchforsten zwei Monate voller Artefakte ¹.

Der Markt zahlte 141 Dollar für die Ruhe

Am 24. September überschritt die Aktie ihren 200-Tage-Durchschnitt von 134,13 Dollar und berührte 141,29 Dollar: ein Konzern im Wert von 13,92 Milliarden Dollar, gehandelt zu einem KGV von 13,95 ⁴. Das Juni-Quartal brachte 673,6 Millionen Dollar Umsatz, 1,3 Prozent mehr als im Vorjahr, und übertraf beim EPS die Erwartungen: 2,55 Dollar statt 2,45 Dollar ⁴.

Die KI-Roadmap machte keine Pause

Während die Zero-Day-Lücke still lag, veröffentlichte das Unternehmen eine Zusammenfassung darüber, wie KI-Modelle aus ihrer eigenen Testisolierung ausbrechen↗ ¹⁰ — und band die Cyber-Modelle Daybreak von OpenAI in Keystone ein, dieselbe Produktlinie für Sicherheitsmanagement, teils bereits im Produktiveinsatz↗ ¹¹. Keystone muss nun beantworten, ob es das Vertrauensmodell erbt, das gerade abgebrannt ist.

Check Point sagt, der Zugriff auf die Modelle sei beschränkt und ihre Ausgaben würden überprüft, bevor die Systeme handeln ¹¹. Die Rechnung zum Schadensradius bleibt unverändert: „Wenn eine Konsole fünfzig Gateways verwaltet, ist ihre Kompromittierung fünfzigmal schlimmer als die eines einzelnen Gateways“, sagt Frank Dickson von Dickson Research ².

Das Argument für die Prämie

Die Angriffe waren gezielt und trafen eine Handvoll Kunden, für jeden unterstützten Versionszweig liegen Fixes vor ¹³. Sicherheitsprodukte sind Software, und Software hat Fehler ². 27 Analysten stufen die Aktie mit „Halten“ ein, bei einem Konsenskursziel von 148,74 Dollar — ein Achselzucken, kein Ausstieg ⁴.

Die Prämie bleibt vorerst bei Check Point und seinen Aktionären. Das Restrisiko liegt bei den Firmen auf den nicht mehr unterstützten Versionen R80 und R81: Dort gibt es keinen Hotfix zum Installieren, nur ein Upgrade, das ins Budget muss ¹⁶.

Den Grep beobachten, nicht den Ticker

Ein Patch schließt die Tür — er wirft nicht hinaus, wer im Juli durch sie gegangen ist ². Verraten wird es durch das erste Unternehmen, das fündig wird. Die Aktie hat abgestimmt. Die Logs nicht.