Check Point potwierdził aktywne ataki wykorzystujące krytyczną lukę CVE‑2026‑50751 (CVSS 9.3), która umożliwia zestawienie sesji VPN bez podania hasła, certyfikatu lub MFA. To nie jest błąd w MFA — to błąd w logice weryfikacji certyfikatów w protokole IKEv1, który jest przestarzały, ale nadal używany w wielu firmach.
Źródła opisują to tak:
- „Active exploitation of CVE‑2026‑50751… allows attackers to establish a VPN session without possession of a valid password”
- „Remote attackers can bypass user authentication by abusing a logic weakness in certificate validation”
- „Unauthenticated attackers gain VPN access without valid user credentials”
- „Check Point warns: attackers bypass VPN authentication”
To oznacza, że atakujący może wejść do firmowej sieci tak, jakby był pracownikiem, bez znajomości jakichkolwiek danych logowania.
2. Jak działa atak? (technicznie)
🔧 Luka dotyczy:
- Check Point Remote Access VPN
- Mobile Access
- Spark Firewall
- konfiguracji używających IKEv1 (IKEv2 jest bezpieczny)
🔍 Mechanizm ataku:
- Atakujący inicjuje połączenie VPN przez IKEv1.
- W trakcie wymiany certyfikatów wykorzystuje błąd w logice walidacji.
- System akceptuje fałszywy certyfikat, mimo że nie jest podpisany przez zaufane CA.
- VPN zestawia sesję bez hasła, bez certyfikatu, bez MFA.
- Atakujący uzyskuje dostęp do sieci jako „pół‑uwierzytelnowany” użytkownik.
Źródła potwierdzają, że to nie jest pełne przejęcie, ale wystarcza, by:
- skanować sieć,
- atakować wewnętrzne usługi,
- próbować eskalacji uprawnień,
- przygotować atak ransomware.
Kudelski Security potwierdza, że atak był już używany przez grupy ransomware.
3. Kto jest atakowany?
Według źródeł:
- ataki są aktywne i potwierdzone,
- dotyczą „ograniczonej liczby organizacji”, ale
- są prowadzone przez finansowo motywowane grupy (ransomware operators).
To oznacza, że atak nie jest masowy, ale wysoce ukierunkowany — typowe dla ransomware i APT.
4. Dlaczego to takie poważne?
✔ 1. Omija wszystkie formy uwierzytelniania
Hasło? Niepotrzebne. Certyfikat? Niepotrzebny. MFA? Niepotrzebne.
✔ 2. Atak działa zdalnie
Nie wymaga dostępu do sieci ofiary.
✔ 3. Dotyczy infrastruktury brzegowej
VPN to „drzwi wejściowe” do firmy.
✔ 4. CISA dodała lukę do katalogu KEV
Z obowiązkowym terminem naprawy 3 dni.
✔ 5. Wiele firm nadal używa IKEv1
Bo:
- jest domyślnie włączony w starych konfiguracjach,
- wspiera starsze urządzenia,
- nie wymaga migracji użytkowników.
5. Co może zrobić atakujący po wejściu do VPN?
Źródła podkreślają, że po zestawieniu sesji VPN atakujący nie ma od razu pełnego dostępu, ale:
- może skanować sieć,
- może atakować serwery SMB, RDP, SQL,
- może próbować przejąć kontrolę nad AD,
- może wdrożyć ransomware.
Kudelski Security potwierdza, że takie działania już miały miejsce.
6. Jak firmy powinny reagować? (priorytet krytyczny)
🔥 1. Natychmiast wyłączyć IKEv1
Check Point sam określa IKEv1 jako deprecated.
🔥 2. Zainstalować hotfix od Check Point
Hotfix usuwa błąd w walidacji certyfikatów.
🔥 3. Wymusić rotację certyfikatów VPN
Atak wykorzystuje błędną walidację — rotacja certyfikatów zmniejsza ryzyko.
🔥 4. Włączyć logowanie i monitorowanie sesji VPN
Szczególnie:
- nietypowe adresy IP,
- sesje bez przypisanego użytkownika,
- sesje o nietypowej długości.
🔥 5. Sprawdzić, czy w sieci nie ma śladów intruzów
Źródła potwierdzają, że atakujący po wejściu wykonują:
- skanowanie portów,
- enumerację AD,
- próby lateral movement.
7. Dlaczego o tym prawie nikt nie mówi?
Bo:
- atak dotyczy konkretnego producenta, nie całego Windows/Linux,
- firmy nie chcą ujawniać, że ich VPN był podatny,
- większość mediów skupia się na AI, a nie na bezpieczeństwie sieciowym,
- Check Point opublikował ostrzeżenie w formie bloga technicznego, a nie dużego komunikatu prasowego.
Heise jako jedno z nielicznych mediów branżowych opisało to szerzej.
8. Podsumowanie: dlaczego to jest incydent klasy „critical”?
- Atakujący mogą wejść do sieci bez logowania.
- Luka jest aktywnie wykorzystywana.
- Dotyczy infrastruktury brzegowej (VPN).
- CISA wymusiła 3‑dniowy termin naprawy.
- Ataki są powiązane z ransomware.
- Wiele firm nadal używa IKEv1, często nieświadomie.
To jest dokładnie ten typ incydentu, który prowadzi do:
- wycieków danych,
- zaszyfrowania sieci,
- przestojów produkcyjnych,
- strat finansowych.