Chuyện gì đã xảy ra
Ngày 8/6/2026, Check Point công bố khuyến cáo về CVE-2026-50751, lỗ hổng nghiêm trọng (CVSS 9,3) cho phép vượt qua xác thực trên Remote Access VPN, Mobile Access và Spark Firewall. Lỗ hổng đã bị khai thác: hoạt động sớm nhất được ghi nhận từ 7/5/2026, gia tăng vào đầu tháng 6. CISA đã đưa nó vào danh mục KEV.
Theo Check Point, chiến dịch có quy mô hạn chế, ảnh hưởng vài chục tổ chức. Ít nhất một sự cố được liên kết, với độ tin cậy trung bình, với một chi nhánh của ransomware Qilin. Rapid7 xác nhận hai trường hợp.
Ai bị ảnh hưởng
Ảnh hưởng các gateway dùng giao thức lỗi thời IKEv1, chấp nhận client Remote Access cũ và không yêu cầu chứng chỉ máy. Trong cấu hình này, kẻ tấn công không cần thông tin đăng nhập vẫn mở được phiên VPN. Để vào tài nguyên nội bộ cần thêm bước, nhưng cửa đã mở.
Phiên bản bị ảnh hưởng: R80.20.X, R80.40, R81, R81.10 (đều hết hỗ trợ), R81.10.X, R81.20, R82, R82.00.X và R82.10.
Check Point cũng phát hiện lỗ hổng liên quan CVE-2026-50752 (CVSS 7,4), cho phép tấn công trung gian vào đường hầm site-to-site trong một số cấu hình. Chưa ghi nhận bị khai thác.
Cần làm gì
- Cài hotfix của Check Point khẩn cấp, không chờ chu kỳ vá thông thường.
- Nếu chưa thể: bỏ hỗ trợ client cũ, đặt xác thực Remote Access chỉ dùng IKEv2, bắt buộc chứng chỉ máy và bật IPS với chữ ký mới nhất.
- Tìm dấu hiệu xâm nhập trong nhật ký từ 7/5, kể cả sau khi vá.
- Chuyển đổi khỏi các phiên bản hết hỗ trợ.
Bài học
VPN và tường lửa biên vẫn là mục tiêu ưa thích của ransomware. Giữ giao thức cũ "để tương thích" là mở cửa cho những cuộc tấn công như thế này.
Nguồn
- Rapid7 (08/06/2026, có cập nhật): https://www.rapid7.com/blog/post/etr-critical-check-point-vpn-zero-day-exploited-in-the-wild-cve-2026-50751/
- Hive Pro, danh mục KEV của CISA tháng 6/2026: https://www.hivepro.com/threat-digests/cisa-known-exploited-vulnerability-catalog-june-2026
Công ty bạn dùng VPN hay tường lửa công khai trên internet? KGA IT kiểm tra cấu hình miễn phí: kga-it.com.