Qué pasó
El 8 de junio de 2026, Check Point publicó un aviso sobre la CVE-2026-50751, una falla crítica (CVSS 9,3) de omisión de autenticación en Remote Access VPN, Mobile Access y Spark Firewall. Ya se estaba explotando: la actividad más antigua conocida es del 7 de mayo de 2026, con un aumento a principios de junio. La CISA la añadió a su catálogo KEV.
Según Check Point, la campaña es limitada y afecta a algunas decenas de organizaciones. Al menos un incidente se vinculó, con confianza media, a un afiliado del ransomware Qilin. Rapid7 confirmó dos casos.
A quién afecta
Afecta a gateways configurados con el protocolo obsoleto IKEv1 que aceptan el cliente heredado de Remote Access y no exigen certificado de máquina. En ese escenario, un atacante sin credenciales puede abrir una sesión VPN. Para llegar a recursos internos necesita pasos adicionales, pero la puerta ya queda abierta.
Versiones afectadas: R80.20.X, R80.40, R81, R81.10 (todas sin soporte), R81.10.X, R81.20, R82, R82.00.X y R82.10.
Check Point halló además una falla relacionada, la CVE-2026-50752 (CVSS 7,4), que permite ataques man-in-the-middle en túneles site-to-site en ciertas configuraciones. No se ha observado su explotación.
Qué hacer
- Aplicar el hotfix de Check Point con urgencia, sin esperar al ciclo normal.
- Si aún no es posible: eliminar el soporte del cliente heredado, configurar la autenticación de Remote Access solo con IKEv2, hacer obligatorio el certificado de máquina y activar IPS con firmas actualizadas.
- Buscar señales de intrusión en los registros desde el 7 de mayo, incluso tras parchear.
- Migrar las versiones sin soporte.
Lección
Las VPN y firewalls perimetrales siguen siendo objetivos favoritos del ransomware. Mantener protocolos antiguos "por compatibilidad" abre la puerta a ataques como este.
Fuentes
- Rapid7 (08/06/2026, actualizado): https://www.rapid7.com/blog/post/etr-critical-check-point-vpn-zero-day-exploited-in-the-wild-cve-2026-50751/
- Hive Pro, catálogo KEV de CISA de junio de 2026: https://www.hivepro.com/threat-digests/cisa-known-exploited-vulnerability-catalog-june-2026
¿Tu empresa usa una VPN o firewall expuesto a internet? KGA IT revisa la configuración gratis: kga-it.com.