L’8 giugno Check Point ha pubblicato gli hotfix per la CVE-2026-50751, una vulnerabilità con gravità 9,3 nelle sue soluzioni di accesso remoto VPN. La falla era sfruttata come zero-day dal 7 maggio, con un aumento dei tentativi a inizio giugno. Lo stesso giorno le autorità statunitensi l’hanno aggiunta all’elenco delle vulnerabilità sfruttate, concedendo agli enti federali appena tre giorni per correggerla.
Un errore logico nella verifica dei certificati permette a un attaccante di aprire una connessione VPN senza una password valida. Serve una configurazione precisa, ma tutt’altro che rara: Remote Access VPN o Mobile Access attivi, il protocollo IKEv1, ormai deprecato, abilitato per l’accesso remoto, gateway che accettano i client di vecchia generazione e certificato della macchina non obbligatorio.
Sono coinvolte le versioni R81.10.X, R81.20, R82, R82.00.X e R82.10, oltre a quelle fuori supporto R80.20.X, R80.40, R81 e R81.10, anche sui firewall Spark.
Le opzioni lasciate accese
Ogni condizione della lista ha la stessa origine: qualcosa che si è lasciato attivo per compatibilità, magari anni fa, per un client che forse nessuno usa più. Qui sono diventate la porta d’ingresso.
Secondo Check Point, gli attacchi hanno colpito alcune decine di organizzazioni nel mondo. In un caso l’azienda ha osservato attività successive all’intrusione che collega, con media confidenza, a un affiliato del ransomware Qilin, che sfrutterebbe anche vulnerabilità VPN di altri produttori. Chi ci sia dietro gli altri attacchi, non è stato detto.
Una VPN che si apre senza password equivale ad avere l’attaccante già seduto dentro la rete aziendale, con un indirizzo interno e l’aspetto di un dipendente in smart working.
Installa subito l’hotfix indicato da Check Point per la tua versione. Se non puoi farlo oggi, togli il supporto ai client di vecchia generazione, imposta l’autenticazione VPN su solo IKEv2 e rendi obbligatorio il certificato della macchina. Attiva IPS con le firme più recenti.
Poi rileggi i log della VPN a partire dal 7 maggio cercando connessioni anomale, e segui cosa hanno fatto nella rete interna gli utenti collegati in quei giorni. Se usi una versione fuori supporto, la migrazione va messa in calendario adesso. E già che ci sei, fai l’elenco delle altre opzioni di compatibilità attive sui tuoi apparati: qualcuna ti sorprenderà.
