O que aconteceu
Em 8 de junho de 2026, a Check Point publicou um alerta sobre a CVE-2026-50751, uma falha crítica (CVSS 9,3) de bypass de autenticação nos produtos Remote Access VPN, Mobile Access e Spark Firewall. A falha já estava sendo explorada: a atividade mais antiga identificada é de 7 de maio de 2026, com aumento no início de junho. A CISA incluiu a falha no seu catálogo de vulnerabilidades exploradas (KEV).
Segundo a Check Point, a campanha é limitada, atingindo algumas dezenas de organizações. Pelo menos um caso foi ligado, com confiança média, a um afiliado do ransomware Qilin. A Rapid7 confirmou dois casos.
Quem é afetado
A falha atinge gateways configurados com o protocolo IKEv1 (antigo e obsoleto), que aceitam o cliente legado de Remote Access e não exigem certificado de máquina. Nesse cenário, um atacante sem senha consegue abrir uma sessão de VPN. Para chegar a recursos internos ele ainda precisa de ações posteriores, mas a porta de entrada já fica aberta.
Versões afetadas: R80.20.X, R80.40, R81, R81.10 (todas sem suporte), R81.10.X, R81.20, R82, R82.00.X e R82.10.
A Check Point também encontrou uma falha relacionada, a CVE-2026-50752 (CVSS 7,4), que permite ataque man-in-the-middle em túneis site-to-site em certas configurações. Não há exploração conhecida dessa segunda falha.
O que fazer
- Aplicar o hotfix da Check Point com urgência, sem esperar o ciclo normal de atualizações.
- Se não for possível agora: remover o suporte ao cliente legado, configurar a autenticação de Remote Access para somente IKEv2, tornar o certificado de máquina obrigatório e ativar o IPS com assinaturas atualizadas.
- Procurar sinais de invasão nos logs desde 7 de maio, mesmo depois de aplicar o hotfix.
- Migrar quem ainda roda versões sem suporte.
Lição
VPNs e firewalls de borda continuam sendo alvos preferidos para ransomware. Manter protocolos antigos ativos "por compatibilidade" abre caminho para ataques como este.
Fontes
- Rapid7 (8/06/2026, atualizado): https://www.rapid7.com/blog/post/etr-critical-check-point-vpn-zero-day-exploited-in-the-wild-cve-2026-50751/
- Hive Pro, catálogo KEV da CISA de junho de 2026: https://www.hivepro.com/threat-digests/cisa-known-exploited-vulnerability-catalog-june-2026
Sua empresa usa VPN ou firewall exposto à internet? A KGA IT revisa a configuração gratuitamente: kga-it.com.