VPN Check Point : connexion sans mot de passe via l'ancien protocole IKEv1

Les anciens protocoles restent souvent actifs pour une seule raison : un client plus ancien en a encore besoin. Chez Check Point, c'est précisément ce qui devient aujourd'hui une porte d'entrée. Grâce à la vulnérabilité CVE-2026-50751, des attaquants établissent une connexion VPN d'accès distant (Remote Access VPN) sans connaître de mot de passe valide, à condition que la passerelle autorise encore l'ancien protocole d'échange de clés IKEv1. Check Point a publié la faille le 8 juin 2026 et observe des attaques depuis le 7 mai. Dans au moins un cas, un affilié du groupe de ransomware Qilin en était à l'origine. L'agence américaine CISA a ajouté la faille le jour même à son catalogue des vulnérabilités activement exploitées.

De quoi s'agit-il

L'erreur se situe dans la vérification des certificats lors de l'échange de clés IKEv1 pour Remote Access VPN et Mobile Access. Une erreur de logique conduit la passerelle à autoriser une connexion VPN sans que l'utilisateur se soit authentifié avec un mot de passe valide. Selon Check Point, l'attaquant a ensuite besoin d'étapes supplémentaires pour accéder aux ressources internes ou élever ses privilèges, mais la connexion VPN elle-même est bien établie.

Les données clés selon l'avis de sécurité Check Point sk185033 :

• Gravité : CVSS 9.3 (critique).
• Versions concernées : les Security Gateways en R81.20, R82 et R82.10 ainsi que les versions qui ne sont plus prises en charge R80.40, R81 et R81.10 ; en outre, les pare-feu Spark en R80.20.X, R81.10.X et R82.00.X. Une passerelle n'est vulnérable que si toutes les conditions suivantes sont réunies : Remote Access VPN ou Mobile Access est activé, IKEv1 est autorisé pour l'accès distant, la passerelle accepte les anciens clients d'accès distant et elle n'exige pas de certificat machine.
• Corrigé dans : des hotfixes que Check Point met à disposition pour les versions prises en charge. Le paquet correspondant à chaque version est indiqué dans sk185033.
• Condition préalable à l'attaque : une passerelle accessible depuis Internet avec la configuration décrite. L'attaquant n'a besoin d'aucun identifiant.
• Conséquence : une session VPN sans mot de passe valide, c'est-à-dire un accès au réseau dans lequel n'interviennent ni mot de passe ni autres facteurs d'authentification.

Au cours de son analyse, Check Point a découvert une deuxième faille dans le même protocole : CVE-2026-50752 (CVSS 7.4) permet, dans certaines conditions, des attaques de type man-in-the-middle sur des connexions VPN site à site. Aucune exploitation n'a été observée à ce jour.

Pourquoi c'est urgent

Selon Check Point, les attaques ont commencé au plus tard le 7 mai 2026 et se sont intensifiées début juin. D'après le fabricant, « quelques dizaines » d'organisations ciblées dans le monde sont touchées. Check Point estime avec un niveau de confiance moyen qu'il s'agit d'un acteur motivé par l'appât du gain utilisant le ransomware Qilin. Après avoir obtenu l'accès VPN, les attaquants ont tenté de télécharger des logiciels malveillants pour Linux depuis leurs propres serveurs.

L'infrastructure est révélatrice : les attaques provenaient de serveurs virtuels loués auprès d'hébergeurs, parfois dans le même pays que la victime. Selon Check Point, cette même infrastructure exploite également des failles publiées dans des produits VPN d'autres fabricants. Ce n'est donc pas un produit en particulier qui est visé, mais l'accès VPN en tant que tel, quel qu'en soit le fournisseur.

Pour les clients Check Point, ce schéma n'est pas nouveau. Dès mai 2024, CVE-2024-24919 (CVSS 8.6) affectait les passerelles avec Remote Access VPN ou Mobile Access : des attaquants pouvaient lire des fichiers sur la passerelle, notamment les hachages de mots de passe des comptes locaux. La société de sécurité mnemonic avait alors observé des attaques à partir du 30 avril 2024. Là aussi, les anciens comptes ne s'authentifiant que par mot de passe étaient particulièrement exposés. La leçon de ces deux cas : ce qui n'est plus actif que pour des raisons de compatibilité finit tôt ou tard par devenir une cible.

Ce que vous devriez faire maintenant

1. Installer le hotfix. Installez le hotfix approprié indiqué dans sk185033 le plus rapidement possible. Les passerelles fonctionnant avec des versions qui ne sont plus prises en charge doivent être migrées vers une version prise en charge.
2. Désactiver les anciens protocoles si le hotfix ne peut pas être appliqué immédiatement : ne plus autoriser les anciens clients, limiter Remote Access VPN à IKEv2 dans les paramètres globaux et rendre les certificats machine obligatoires. Vérifiez au préalable quels clients et cas d'usage dépendent encore d'IKEv1.
3. Activer l'IPS et charger les signatures les plus récentes. Cela aide à la détection, mais ne remplace pas le hotfix.
4. Analyser les journaux à partir du 7 mai. Comparez les connexions avec les adresses IP de la liste d'indicateurs de Check Point, qui a été enrichie à plusieurs reprises depuis la publication. Soyez attentif aux sessions VPN d'utilisateurs inconnus ou provenant d'adresses IP sources inhabituelles.
5. En cas de soupçon, partez du principe d'une compromission : mettez fin aux sessions, réinitialisez les identifiants et vérifiez si des fichiers ont été téléchargés depuis la passerelle ou si des systèmes internes ont été sollicités. Check Point propose une assistance via son support.

Ce que cela signifie pour la protection des pare-feu

CVE-2026-50751 révèle une facette inconfortable de la sécurité réseau : avec son accès VPN, le pare-feu lui-même est un service accessible publiquement. Une faille à ce niveau neutralise toutes les règles et procédures d'authentification mises en place derrière lui. Dans ce cas, environ un mois s'est écoulé entre la première attaque et le hotfix.

NetProtector complète ici le pare-feu par une couche de protection supplémentaire. L'appliance est placée en ligne devant le pare-feu et évalue le trafic avant qu'il n'atteigne la passerelle VPN :

• Les sources d'attaque connues restent à l'extérieur. Des attaques comme celle-ci passent par des serveurs que les mêmes acteurs réutilisent sans cesse contre différentes cibles. Les adresses déjà repérées comme attaquantes dans le réseau de capteurs NetProtector sont bloquées avant de pouvoir atteindre votre passerelle.
• Les comportements suspects deviennent visibles. NetProtector détecte comme anomalies les scans de services VPN, les tentatives de connexion répétées ou les schémas d'accès atypiques. Les alertes peuvent être transmises à des systèmes existants tels qu'un SIEM ou un système de tickets, afin que votre équipe de sécurité les voie là où elle travaille déjà.
• Une couche supplémentaire, pas un substitut. NetProtector ne remplace ni le hotfix ni la modification de configuration et n'annule pas une session déjà établie par un attaquant. Il réduit en revanche le nombre d'attaques qui atteignent la passerelle en attendant le correctif.

Nous expliquons quelles réactions NetProtector peut automatiser et comment il s'intègre à vos outils de sécurité existants sur la page Comment fonctionne NetProtector.

Notre analyse

Ce cas relève moins du fabricant que de l'héritage technique. IKEv1 est considéré comme obsolète depuis des années, mais reste actif dans de nombreux réseaux parce qu'un ancien client en dépend encore quelque part. Chacune de ces exceptions constitue une surface d'attaque. Pour protéger vos accès VPN, vérifiez donc régulièrement quels protocoles et modes d'authentification sont réellement nécessaires, appliquez rapidement les mises à jour, surveillez les connexions et placez devant le pare-feu une couche qui empêche les attaquants connus d'atteindre la passerelle.

Sources

• Check Point Blog: Security Advisory – Action Required – Active Exploitation of Check Point VPN Authentication Bypass
• Check Point Support: sk185033 – CVE-2026-50751
• Rapid7: Critical Check Point VPN Zero-Day Exploited in the Wild (CVE-2026-50751)
• SecurityWeek: Check Point VPN Zero-Day Exploited in Qilin Ransomware Attacks
• mnemonic: Advisory – Check Point Remote Access VPN vulnerability (CVE-2024-24919)