Ano ang nangyari
Noong Hunyo 8, 2026, naglathala ang Check Point ng advisory para sa CVE-2026-50751, isang kritikal (CVSS 9.3) na authentication bypass sa Remote Access VPN, Mobile Access at Spark Firewall. Sinasamantala na ito: ang pinakamaagang aktibidad ay noong Mayo 7, 2026, at dumami noong unang bahagi ng Hunyo. Idinagdag ito ng CISA sa KEV catalog.
Ayon sa Check Point, limitado ang kampanya at ilang dosenang organisasyon ang tinamaan. Hindi bababa sa isang insidente ang iniugnay, na may katamtamang kumpiyansa, sa affiliate ng Qilin ransomware. Kinumpirma ng Rapid7 ang dalawang kaso.
Sino ang apektado
Tinatamaan nito ang mga gateway na gumagamit ng lumang IKEv1, tumatanggap ng legacy Remote Access client at hindi nangangailangan ng machine certificate. Sa ganitong setup, puwedeng magbukas ng VPN session ang umaatake nang walang credential. Kailangan pa ng dagdag na hakbang para maabot ang internal na resources, pero bukas na ang pinto.
Mga apektadong bersyon: R80.20.X, R80.40, R81, R81.10 (lahat End of Support), R81.10.X, R81.20, R82, R82.00.X at R82.10.
Nakakita rin ang Check Point ng kaugnay na butas, CVE-2026-50752 (CVSS 7.4), na nagpapahintulot ng man-in-the-middle sa site-to-site tunnel sa ilang configuration. Walang nakitang pagsasamantala rito.
Ano ang dapat gawin
- I-apply agad ang hotfix ng Check Point, nang hindi hinihintay ang regular na cycle.
- Kung hindi pa kaya: alisin ang suporta sa legacy client, gawing IKEv2 lang ang Remote Access authentication, gawing mandatory ang machine certificate at i-enable ang IPS na may pinakabagong signature.
- Maghanap ng senyales ng pagpasok sa mga log mula Mayo 7, kahit naka-patch na.
- Lumipat mula sa mga bersyong wala nang suporta.
Aral
Nananatiling paboritong target ng ransomware ang mga VPN at firewall sa gilid ng network. Ang pag-iwan ng lumang protocol "para sa compatibility" ay nagbubukas ng pinto sa ganitong atake.
Mga pinagmulan
- Rapid7 (2026-06-08, na-update): https://www.rapid7.com/blog/post/etr-critical-check-point-vpn-zero-day-exploited-in-the-wild-cve-2026-50751/
- Hive Pro, CISA KEV catalog Hunyo 2026: https://www.hivepro.com/threat-digests/cisa-known-exploited-vulnerability-catalog-june-2026
Gumagamit ba ang kumpanya mo ng VPN o firewall na nakalantad sa internet? Libreng susuriin ng KGA IT ang configuration: kga-it.com.