何が起きたのか
2026年6月8日、Check PointはRemote Access VPN、Mobile Access、Spark Firewallの認証回避の脆弱性CVE-2026-50751（CVSS 9.3、緊急）に関するアドバイザリを公開しました。この脆弱性はすでに悪用されており、確認された最も古い活動は2026年5月7日で、6月上旬に増加しました。CISAは既知の悪用された脆弱性（KEV）カタログに追加しています。
Check Pointによると、攻撃は限定的で、数十の組織が対象です。少なくとも1件は、中程度の確度でランサムウェアQilinのアフィリエイトと関連付けられています。Rapid7も2件を確認しました。
影響を受ける環境
対象は、旧式のIKEv1プロトコルを使い、レガシーのRemote Accessクライアントを受け入れ、マシン証明書を必須にしていないゲートウェイです。この構成では、認証情報なしでVPNセッションを確立できます。内部資源に到達するには追加の操作が必要ですが、入口は開いてしまいます。
影響バージョン：R80.20.X、R80.40、R81、R81.10（いずれもサポート終了）、R81.10.X、R81.20、R82、R82.00.X、R82.10。
Check Pointは関連する脆弱性CVE-2026-50752（CVSS 7.4）も発見しました。特定の構成でサイト間VPNへの中間者攻撃が可能になるもので、悪用は確認されていません。
対策
- Check Pointのホットフィックスを緊急適用する（通常のパッチサイクルを待たない）
- すぐに適用できない場合：レガシークライアントのサポートを削除し、Remote Access認証をIKEv2のみに設定、マシン証明書を必須化し、最新シグネチャでIPSを有効化する
- パッチ適用後も、5月7日以降のログで侵害の痕跡を調査する
- サポート終了版は移行する
教訓
境界のVPNやファイアウォールは、ランサムウェアの主要な標的であり続けています。「互換性のため」に古いプロトコルを残すことが、このような攻撃の入口になります。
出典
- Rapid7（2026年6月8日、更新あり）：https://www.rapid7.com/blog/post/etr-critical-check-point-vpn-zero-day-exploited-in-the-wild-cve-2026-50751/
- Hive Pro、CISA KEVカタログ 2026年6月：https://www.hivepro.com/threat-digests/cisa-known-exploited-vulnerability-catalog-june-2026
自社でインターネットに公開されたVPNやファイアウォールを使っていますか。KGA ITが設定を無料で確認します：kga-it.com