Check Point lanzó actualizaciones críticas para corregir dos vulnerabilidades en sus servicios de VPN (especialmente en el protocolo obsoleto IKEv1) que permiten el salto de autenticación. Se ha detectado que atacantes remotos ya explotaron la falla CVE-2026-50751 en varias organizaciones, vinculándose en un caso al ransomware Qilin. La empresa insta a los usuarios a aplicar los parches inmediatamente o migrar a IKEv2 para mitigar el riesgo.

La empresa israelí de ciberseguridad Check Point ha lanzado actualizaciones de seguridad para parchear un fallo crítico que afecta a los despliegues de VPN de Acceso Remoto y Acceso Móvil, el cual fue explotado en ataques de día cero.

Identificada como CVE-2026-50751, esta vulnerabilidad puede ser explotada por atacantes remotos no autenticados para evadir la autenticación en VPNs de Acceso Móvil / SSL, VPNs de Acceso Remoto o firewalls Spark y establecer una conexión VPN de acceso remoto.

Según la empresa, este fallo de seguridad afecta únicamente a los despliegues configurados para utilizar el protocolo de intercambio de claves IKEv1 (obsoleto), con pasarelas de seguridad que aceptan clientes de Acceso Remoto heredados y no requieren un certificado de máquina para las conexiones.


Los ataques comenzaron el 7 de mayo, aumentaron a principios de junio y han afectado solo a "unas pocas docenas" de organizaciones en todo el mundo, con al menos un incidente vinculado a la operación de ransomware Qilin.

"Check Point Research ha identificado la explotación activa de CVE-2026-50751, una vulnerabilidad crítica de omisión de autenticación que afecta a los despliegues de VPN de Acceso Remoto y Acceso Móvil de Check Point configurados para utilizar el protocolo de intercambio de claves IKEv1 obsoleto", advirtió la empresa en su blog.

"Hasta la fecha, la explotación observada se ha limitado a unas pocas docenas de organizaciones seleccionadas a nivel mundial. Un caso implicó una actividad confirmada posterior al compromiso asociada con un afiliado del ransomware Qilin. Se recomienda encarecidamente a los clientes que utilizan el protocolo de intercambio de claves IKEv1 que apliquen las actualizaciones de seguridad disponibles inmediatamente".

Check Point también compartió medidas de mitigación para los clientes que no pueden parchear inmediatamente los sistemas vulnerables y les aconsejó eliminar el soporte para el cliente de acceso remoto heredado, configurar las propiedades globales de autenticación de VPN de Acceso Remoto solo para IKEv2, establecer la autenticación del Certificado de Máquina como obligatoria, y habilitar el IPS y descargar las firmas.

Mientras investigaba el fallo CVE-2026-50751, Check Point encontró una segunda vulnerabilidad (identificada como CVE-2026-50752) que afecta la validación de certificados en el intercambio de claves IKEv1 obsoleto, la cual puede ser explotada en ataques de hombre en el medio (man-in-the-middle) en conexiones VPN de sitio a sitio.

Aunque Check Point aún no ha encontrado pruebas de la explotación de CVE-2026-50752 en entornos reales, aconsejó a los clientes aplicar las actualizaciones para mitigar la exposición potencial.

Qilin apareció en agosto de 2022 como una operación de Ransomware-as-a-Service (RaaS) bajo el nombre de "Agenda" y desde entonces ha reclamado la responsabilidad de casi 400 víctimas en su sitio de filtraciones de la dark web.

La lista de víctimas de la banda también incluye organizaciones de alto perfil como el gigante automotriz Yangfeng, Nissan, la empresa cervecera japonesa Asahi, el gigante editorial Lee Enterprises, el proveedor de servicios de patología Synnovis y Court Services Victoria de Australia.

Fuente:
BleepingComputer