Check Point VPN: autenticação sem palavra-passe através do obsoleto IKEv1

Os protocolos antigos permanecem muitas vezes ativos por uma única razão: algum cliente mais antigo ainda precisa deles. Na Check Point, é precisamente isso que se está a tornar uma porta de entrada. Através da vulnerabilidade CVE-2026-50751, os atacantes estabelecem uma ligação Remote Access VPN sem conhecerem uma palavra-passe válida – desde que o gateway ainda permita o obsoleto protocolo de troca de chaves IKEv1. A Check Point publicou a vulnerabilidade a 8 de junho de 2026 e observa ataques desde 7 de maio. Em pelo menos um caso, estava por detrás um afiliado do grupo de ransomware Qilin. A agência norte-americana CISA incluiu a vulnerabilidade no seu catálogo de vulnerabilidades ativamente exploradas no mesmo dia.

Do que se trata

A falha reside na verificação de certificados durante a troca de chaves IKEv1 para Remote Access VPN e Mobile Access. Um erro lógico faz com que o gateway aceite uma ligação VPN sem que o utilizador se tenha autenticado com uma palavra-passe válida. Segundo a Check Point, o atacante necessita depois de passos adicionais para aceder a recursos internos ou escalar privilégios – mas a ligação VPN em si fica estabelecida.

Os dados essenciais segundo o advisory da Check Point sk185033:

• Gravidade: CVSS 9.3 (crítica).
• Afetados: Security Gateways com R81.20, R82 e R82.10, bem como as versões já sem suporte R80.40, R81 e R81.10; além disso, firewalls Spark com R80.20.X, R81.10.X e R82.00.X. Um gateway só é vulnerável se todas estas condições se verificarem: Remote Access VPN ou Mobile Access está ativo, o IKEv1 está permitido para acesso remoto, o gateway aceita clientes de acesso remoto mais antigos e não exige certificado de máquina.
• Corrigido em: hotfixes que a Check Point disponibiliza para as versões suportadas. O pacote adequado a cada versão consta do sk185033.
• Pré-requisito para o ataque: um gateway acessível a partir da Internet com a configuração descrita. O atacante não precisa de credenciais.
• Consequência: uma sessão VPN sem palavra-passe válida – ou seja, um acesso à rede em que não intervêm nem palavra-passe nem outros fatores de autenticação.

Durante a investigação, a Check Point encontrou uma segunda vulnerabilidade no mesmo mecanismo: a CVE-2026-50752 (CVSS 7.4) pode, em determinadas circunstâncias, permitir ataques man-in-the-middle a ligações VPN site-to-site. Até ao momento, não foi observada qualquer exploração.

Porque é urgente

Segundo a Check Point, os ataques começaram, o mais tardar, a 7 de maio de 2026 e intensificaram-se no início de junho. De acordo com o fabricante, foram afetadas «algumas dezenas» de organizações em todo o mundo, selecionadas de forma direcionada. A Check Point atribui os ataques, com confiança média, a um ator com motivação financeira que utiliza o ransomware Qilin. Após obterem o acesso VPN, os atacantes tentaram descarregar malware para Linux a partir dos seus próprios servidores.

A infraestrutura é reveladora: os ataques partiram de servidores virtuais alugados em fornecedores de alojamento, por vezes no mesmo país da vítima. Segundo a avaliação da Check Point, a mesma infraestrutura também explora vulnerabilidades publicadas em produtos VPN de outros fabricantes. Não está, portanto, a ser atacado um produto específico, mas sim o acesso VPN enquanto tal – independentemente do fornecedor.

Para os clientes Check Point, o padrão não é novo. Já em maio de 2024, a CVE-2024-24919 (CVSS 8.6) afetava gateways com Remote Access VPN ou Mobile Access: os atacantes conseguiam ler ficheiros do gateway, incluindo hashes de palavras-passe de contas locais. A empresa de segurança mnemonic observou na altura ataques a partir de 30 de abril de 2024. Também nesse caso, as contas mais antigas que se autenticavam apenas com palavra-passe estavam particularmente em risco. A lição de ambos os casos: o que se mantém ativo apenas por razões de compatibilidade torna-se, mais cedo ou mais tarde, um alvo.

O que deve fazer agora

1. Aplicar o hotfix. Instale o hotfix adequado do sk185033 o mais rapidamente possível. Os gateways com versões sem suporte devem ser migrados para uma versão suportada.
2. Desativar mecanismos antigos, caso o hotfix não seja possível de imediato: deixar de permitir clientes mais antigos, restringir o Remote Access VPN a IKEv2 nas definições globais e tornar os certificados de máquina obrigatórios. Verifique previamente quais os clientes e casos de utilização que ainda dependem do IKEv1.
3. Ativar o IPS e carregar as assinaturas mais recentes. Isto ajuda na deteção, mas não substitui o hotfix.
4. Analisar os logs a partir de 7 de maio. Compare as ligações com os endereços IP da lista de indicadores da Check Point – esta foi alargada várias vezes após a publicação. Esteja atento a sessões VPN com utilizadores desconhecidos ou IPs de origem invulgares.
5. Em caso de suspeita, parta do princípio de que houve comprometimento: termine as sessões, redefina as credenciais e verifique se foram descarregados ficheiros a partir do gateway ou contactados sistemas internos. A Check Point oferece apoio para isso através do suporte.

O que isto significa para a proteção de firewalls

A CVE-2026-50751 revela um lado incómodo da segurança de redes: a própria firewall, com o seu acesso VPN, é um serviço acessível publicamente. Uma vulnerabilidade nesse serviço anula tudo o que foi construído por detrás em termos de regras e mecanismos de autenticação. Neste caso, decorreu cerca de um mês entre o primeiro ataque e o hotfix.

O NetProtector complementa a firewall neste ponto com uma camada de proteção própria. O appliance é colocado em linha à frente da firewall e avalia o tráfego antes de este chegar ao gateway VPN:

• As fontes de ataque conhecidas ficam de fora. Ataques como este passam por servidores que os mesmos atores utilizam repetidamente contra diferentes alvos. Os endereços já identificados como atacantes na rede de sensores do NetProtector são bloqueados antes de contactarem o seu gateway.
• O que é suspeito torna-se visível. O NetProtector deteta como anomalias as análises à procura de serviços VPN, as tentativas de ligação acumuladas ou os padrões de acesso atípicos. Os alertas podem ser encaminhados para sistemas existentes, como SIEM ou sistema de tickets, para que a sua equipa de segurança os veja onde já trabalha.
• Uma camada adicional, não um substituto. O NetProtector não substitui o hotfix nem a alteração de configuração e não anula uma sessão de atacante já estabelecida. Mas reduz os ataques que chegam efetivamente ao gateway no período até à aplicação do patch.

Explicamos que reações o NetProtector consegue automatizar e como se integra nas ferramentas de segurança existentes na página Como funciona o NetProtector.

A nossa avaliação

Este caso é menos uma questão de fabricante do que uma questão de legado. O IKEv1 é considerado obsoleto há anos, mas continua ativo em muitas redes porque algures ainda há um cliente mais antigo que depende dele. Cada exceção deste tipo é superfície de ataque. Quem pretende proteger os seus acessos VPN deve, por isso, verificar regularmente quais os protocolos e métodos de autenticação realmente necessários, aplicar atualizações rapidamente, monitorizar as autenticações – e instalar à frente da firewall uma camada que impeça os atacantes conhecidos de sequer chegarem ao gateway.

Fontes

• Check Point Blog: Security Advisory – Action Required – Active Exploitation of Check Point VPN Authentication Bypass
• Check Point Support: sk185033 – CVE-2026-50751
• Rapid7: Critical Check Point VPN Zero-Day Exploited in the Wild (CVE-2026-50751)
• SecurityWeek: Check Point VPN Zero-Day Exploited in Qilin Ransomware Attacks
• mnemonic: Advisory – Check Point Remote Access VPN vulnerability (CVE-2024-24919)