Check Point VPN: accesso senza password tramite l'obsoleto IKEv1

I vecchi protocolli restano spesso attivi per un unico motivo: qualche client più datato ne ha ancora bisogno. Con Check Point è proprio questo a diventare ora un punto d'ingresso. Sfruttando la vulnerabilità CVE-2026-50751, gli attaccanti stabiliscono una connessione Remote Access VPN senza conoscere una password valida, a condizione che il gateway consenta ancora l'obsoleto protocollo di scambio delle chiavi IKEv1. Check Point ha reso pubblica la vulnerabilità l'8 giugno 2026 e osserva attacchi dal 7 maggio. In almeno un caso dietro l'attacco c'era un affiliato del gruppo ransomware Qilin. L'agenzia statunitense CISA ha inserito la vulnerabilità nel proprio catalogo delle vulnerabilità attivamente sfruttate il giorno stesso.

Di cosa si tratta

L'errore risiede nella verifica dei certificati durante lo scambio delle chiavi IKEv1 per Remote Access VPN e Mobile Access. Un errore logico fa sì che il gateway consenta una connessione VPN senza che l'utente si sia autenticato con una password valida. Secondo Check Point, l'attaccante deve poi compiere ulteriori passi per accedere alle risorse interne o elevare i propri privilegi, ma la connessione VPN in sé è stabilita.

I dati principali secondo l'advisory Check Point sk185033:

• Gravità: CVSS 9.3 (critica).
• Prodotti interessati: Security Gateway con R81.20, R82 e R82.10 nonché le versioni non più supportate R80.40, R81 e R81.10; inoltre i firewall Spark con R80.20.X, R81.10.X e R82.00.X. Un gateway è vulnerabile solo se si verificano tutte le seguenti condizioni: Remote Access VPN o Mobile Access è attivo, IKEv1 è consentito per Remote Access, il gateway accetta client Remote Access meno recenti e non richiede un certificato macchina.
• Corretto in: hotfix che Check Point mette a disposizione per le versioni supportate. Quale pacchetto corrisponde a quale versione è indicato in sk185033.
• Prerequisito per l'attacco: un gateway raggiungibile da Internet con la configurazione descritta. L'attaccante non ha bisogno di credenziali.
• Conseguenza: una sessione VPN senza password valida, ovvero un accesso alla rete in cui non intervengono né la password né ulteriori fattori di autenticazione.

Nel corso dell'analisi Check Point ha individuato una seconda vulnerabilità nello stesso protocollo: CVE-2026-50752 (CVSS 7.4) consente in determinate circostanze attacchi man-in-the-middle sulle connessioni VPN site-to-site. Finora non ne è stato osservato lo sfruttamento.

Perché è urgente

Secondo Check Point, gli attacchi sono iniziati al più tardi il 7 maggio 2026 e si sono intensificati all'inizio di giugno. Secondo il produttore, sono colpite «alcune decine» di organizzazioni selezionate in modo mirato in tutto il mondo. Check Point attribuisce con media confidenza gli attacchi a un attore con motivazioni finanziarie che utilizza il ransomware Qilin. Dopo aver ottenuto l'accesso VPN, gli attaccanti hanno tentato di scaricare malware per Linux dai propri server.

L'infrastruttura è rivelatrice: gli attacchi provenivano da server virtuali noleggiati presso provider di hosting, in parte nello stesso Paese della vittima. Secondo la valutazione di Check Point, la stessa infrastruttura sfrutta anche vulnerabilità note nei prodotti VPN di altri produttori. Il bersaglio quindi non è un singolo prodotto, ma l'accesso VPN in quanto tale, indipendentemente dal produttore.

Per i clienti Check Point lo schema non è nuovo. Già nel maggio 2024 la CVE-2024-24919 (CVSS 8.6) interessava i gateway con Remote Access VPN o Mobile Access: gli attaccanti potevano leggere file dal gateway, tra cui gli hash delle password degli account locali. All'epoca la società di sicurezza mnemonic osservò attacchi a partire dal 30 aprile 2024. Anche in quel caso erano particolarmente a rischio gli account più datati che si autenticano solo con password. La lezione di entrambi i casi: ciò che resta attivo solo per motivi di compatibilità prima o poi diventa un bersaglio.

Cosa fare subito

1. Installare l'hotfix. Installate il prima possibile l'hotfix appropriato indicato in sk185033. I gateway con versioni non più supportate dovrebbero essere migrati a una versione supportata.
2. Disattivare i protocolli obsoleti, se l'hotfix non è applicabile immediatamente: non consentire più i client meno recenti, limitare Remote Access VPN a IKEv2 nelle impostazioni globali e rendere obbligatori i certificati macchina. Verificate prima quali client e casi d'uso dipendono ancora da IKEv1.
3. Attivare l'IPS e caricare le firme più recenti. Questo aiuta nel rilevamento, ma non sostituisce l'hotfix.
4. Controllare i log a partire dal 7 maggio. Confrontate le connessioni con gli indirizzi IP dell'elenco di indicatori di Check Point, ampliato più volte dopo la pubblicazione. Prestate attenzione a sessioni VPN con utenti sconosciuti o IP di origine insoliti.
5. In caso di sospetto, presupponete una compromissione: terminate le sessioni, reimpostate le credenziali e verificate se dal gateway sono stati scaricati file o contattati sistemi interni. Check Point offre a tal fine assistenza tramite il supporto.

Cosa significa per la protezione dei firewall

La CVE-2026-50751 mostra un aspetto scomodo della sicurezza di rete: con il suo accesso VPN, il firewall stesso è un servizio raggiungibile pubblicamente. Una vulnerabilità al suo interno vanifica le regole e le procedure di autenticazione costruite a valle. In questo caso tra il primo attacco e l'hotfix è trascorso circa un mese.

NetProtector affianca qui il firewall con un proprio livello di protezione. L'appliance viene inserita in linea davanti al firewall e valuta il traffico prima che raggiunga il gateway VPN:

• Le fonti di attacco note restano fuori. Attacchi come questo passano attraverso server che gli stessi attori utilizzano ripetutamente contro obiettivi diversi. Gli indirizzi già segnalati come attaccanti nella rete di sensori NetProtector vengono bloccati prima che contattino il vostro gateway.
• Le anomalie diventano visibili. Scansioni alla ricerca di servizi VPN, tentativi di connessione ripetuti o schemi di accesso atipici vengono riconosciuti da NetProtector come anomalie. Gli allarmi possono essere inoltrati a sistemi esistenti come SIEM o sistemi di ticketing, in modo che il vostro team di sicurezza li veda dove già lavora.
• Un livello aggiuntivo, non un sostituto. NetProtector non sostituisce né l'hotfix né la modifica della configurazione e non annulla una sessione già stabilita da un attaccante. Riduce però gli attacchi che raggiungono effettivamente il gateway nel periodo fino alla patch.

Quali reazioni NetProtector può automatizzare e come si integra negli strumenti di sicurezza esistenti è spiegato nella pagina Come funziona NetProtector.

La nostra valutazione

Il caso riguarda meno il produttore e più l'eredità del passato. IKEv1 è considerato obsoleto da anni, ma resta attivo in molte reti perché da qualche parte vi dipende ancora un client più datato. Ogni eccezione di questo tipo è superficie d'attacco. Chi vuole proteggere i propri accessi VPN dovrebbe quindi verificare regolarmente quali protocolli e metodi di autenticazione sono davvero necessari, installare rapidamente gli aggiornamenti, monitorare gli accessi e inserire davanti al firewall un livello che impedisca agli attaccanti noti di arrivare fino al gateway.

Fonti

• Check Point Blog: Security Advisory – Action Required – Active Exploitation of Check Point VPN Authentication Bypass
• Check Point Support: sk185033 – CVE-2026-50751
• Rapid7: Critical Check Point VPN Zero-Day Exploited in the Wild (CVE-2026-50751)
• SecurityWeek: Check Point VPN Zero-Day Exploited in Qilin Ransomware Attacks
• mnemonic: Advisory – Check Point Remote Access VPN vulnerability (CVE-2024-24919)