Check Point VPN ломают без пароля — CVE-2026-50751 уже в пробиве
🔥 Check Point VPN ломают без пароля — CVE-2026-50751 уже в пробиве
Check Point зафиксировала активную эксплуатацию критического обхода аутентификации в Remote Access VPN и Mobile Access. Уязвимость CVE-2026-50751 с оценкой CVSS 9.3 позволяет подключиться к VPN-шлюзу без валидных кредов — достаточно того, что на gateway включён устаревший IKEv1 и не требуется машинный сертификат для legacy-клиентов. Проблема не в криптографии, а в логике проверки сертификатов на этапе key exchange: атакующий просто не предъявляет сертификат, и шлюз пропускает сессию. Кампания идёт с 7 мая 2026-го, всплеск пришёлся на начало июня — по данным Rapid7, затронуты несколько десятков организаций.
Затронуты девять версионных веток, и вот что больно: R80.20.X, R80.40, R81 и R81.10 уже достигли End of Support. На исправление для мёртвых веток не рассчитывайте — только миграция. Check Point выпустила срочные исправления для R81.10.X, R81.20, R82, R82.00.X и R82.10, но если вы всё ещё на R80.40 с периметром наружу, проблема глубже одного CVE. Помимо основного бага, в том же коде IKEv1 нашли CVE-2026-50752 (CVSS 7.4) — атака посредника на site-to-site туннелях при определённых конфигурациях.
Связка с Qilin ransomware зафиксирована как минимум в одном инциденте. Злоумышленники использовали VPS-хосты, география которых совпадала с регионом жертвы. Индикаторы компрометации опубликованы: адреса 45.77.149[.]152, 209.182.225[.]136, 38.60.157[.]139 и ещё шесть IP, два MD5-хэша ELF-пейлоадов. Rapid7 подтверждает минимум один случай атрибуции с высокой уверенностью.
→ CVE-2026-50751, authentication bypass, CVSS 9.3, IKEv1
→ Эксплуатация с 07.05.2026, активная фаза — начало июня
→ Затронуто: Remote Access VPN, Mobile Access, Spark Firewall
→ EOL-ветки: R80.20.X, R80.40, R81, R81.10 — исправления не будет
Мы имеем вторую за два года zero-day в Check Point VPN после CVE-2024-24919 — и опять в коде, обслуживающем legacy-протокол. Вопрос к CISO: почему IKEv1 до сих пор не выключен политикой, если он deprecated с 2016 года? Временный фикс тривиален — убрать поддержку legacy-клиента и принудить IKEv2 с машинным сертификатом. Проверьте логи с 7 мая: даже если исправление уже установили, сессия могла быть установлена и использована для lateral movement.
#CheckPoint #CVE202650751 #Qilin #VPN #ZeroDay