User Authentication Bypass in VPN Remote Access and Mobile Access

Falha de autenticação em Check Point Security Gateway e Spark Firewall permite que um atacante remoto não autenticado estabeleça uma sessão de VPN de acesso remoto (Remote Access / Mobile Access) sem senha válida, explorando um defeito na lógica de validação de certificado usada pelo protocolo IKEv1, já obsoleto. A falha está sob exploração ativa confirmada pela Check Point, incluindo pelo menos um caso com atividade pós-comprometimento associada a afiliado do ransomware Qilin, o que justifica a inclusão imediata no catálogo KEV da CISA com prazo de correção de apenas três dias.

A vulnerabilidade (CWE-287, Improper Authentication) reside na validação de certificado do fluxo de negociação IKEv1 usado pelos gateways Check Point para VPN de Remote Access e Mobile Access/SSL VPN. Segundo a Check Point, existe uma "logic flow weakness" nessa validação: o gateway aceita a negociação e estabelece a conexão VPN sem exigir uma senha de usuário válida, efetivamente pulando a etapa de autenticação do usuário mesmo quando o mecanismo de acesso remoto exige credenciais.

O vetor CVSS (AV:N/AC:L/PR:N/UI:N) indica que a exploração é puramente de rede, sem necessidade de privilégios prévios ou interação do usuário, e com baixa complexidade de ataque — condições consistentes com uma falha de lógica de autenticação e não com um bug de corrupção de memória. O impacto formal é limitado a confidencialidade alta e integridade baixa (sem impacto de disponibilidade no CVSS), refletindo que a falha em si concede acesso à sessão VPN, não execução de código arbitrária.

Durante a investigação desta CVE, pesquisadores da Check Point usando a plataforma BLAST identificaram uma segunda falha relacionada, CVE-2026-50752, também na validação de certificado do IKEv1, mas que afeta a autenticação de túneis site-to-site e permite condições de man-in-the-middle sob circunstâncias específicas. É uma falha distinta, com CVSS 7.4, sem exploração confirmada, mas compartilha a mesma raiz de código (lógica de validação de certificado do IKEv1) e o mesmo conjunto de versões afetadas.

O fator determinante de exposição é o protocolo de troca de chaves usado pela configuração de VPN: a falha só se manifesta em deployments de Remote Access/Mobile Access configurados para usar IKEv1, protocolo que o próprio fornecedor já classifica como obsoleto (deprecated) há anos em favor do IKEv2.

A exploração observada não exige credenciais, acesso prévio à rede interna nem interação de usuário: basta alcançar a porta do gateway de VPN configurada para IKEv1 e enviar uma negociação manipulada que engana a validação de certificado, resultando em uma sessão de acesso remoto estabelecida sem senha de usuário. A Check Point classifica isso como bypass de autenticação, não como execução de código — o atacante obtém a sessão de rede da VPN, mas ainda precisa de atividade pós-exploração (movimento lateral, uso de credenciais capturadas, exploração de serviços internos) para acessar recursos ou escalar privilégios dentro do ambiente da vítima.

A Check Point relata exploração ativa desde pelo menos 7 de maio de 2026, com aumento de tentativas no início de junho de 2026, atingindo "algumas dezenas" de organizações no mundo até a divulgação. Com confiança média, atribuem a atividade a um ator financeiramente motivado ligado a um afiliado do ransomware Qilin, que também estaria explorando vulnerabilidades de VPN de outros fornecedores (Palo Alto, Fortinet, F5) e usa infraestrutura VPS dedicada (Vultr, Shock Hosting, Kaupo Cloud HK) — em alguns casos geolocalizada próxima à vítima. Um caso documentado envolveu atividade pós-comprometimento correlacionada a binários de ransomware Qilin para Linux e tentativas de baixar arquivos ELF maliciosos de infraestrutura do atacante.

A CISA adicionou a CVE ao catálogo KEV em 08/06/2026 com prazo de correção de 11/06/2026 (três dias), o menor tipo de janela reservada a falhas com exploração confirmada e uso associado a ransomware. Existem template Nuclei e PoC pública circulando, o que reduz a barreira técnica para replicação por outros atores além do grupo original observado.

A correção primária é aplicar o hotfix de segurança liberado pela Check Point para os gateways afetados, conforme detalhado no advisory sk185033 (Remote Access/Mobile Access — CVE-2026-50751) e sk185035 (site-to-site — CVE-2026-50752). As fontes consultadas não trazem números de versão/build específicos do hotfix; o procedimento exato de upgrade, builds corrigidos e configurações alternativas de mitigação (via configurações do serviço de acesso remoto) estão documentados nesses SKs, que devem ser consultados diretamente para a versão exata aplicável a cada branch.

As versões/branches listadas como afetadas por ambas as CVEs são: R80.20.X (EOS), R80.40 (EOS), R81 (EOS), R81.10 (EOS), R81.10.X, R81.20, R82, R82.00.X e R82.10 — note que vários desses branches já estão em End of Support (EOS), o que significa que hotfix pode não estar disponível ou ser a última atualização de segurança para essas linhas.

Como a falha só se manifesta em deployments configurados para IKEv1, um controle compensatório coerente com a própria descrição da vulnerabilidade é migrar a configuração de Remote Access/Mobile Access para IKEv2, eliminando a superfície de ataque — mas isso é inferência a partir da natureza da falha, não uma orientação literal encontrada nas fontes lidas; a mitigação alternativa oficial documentada no sk185033 deve ser conferida antes de decidir não aplicar o hotfix. Reiniciar sessões de VPN ou apenas trocar senhas de usuários não corrige a falha, já que o bypass ocorre antes da verificação de senha ser efetivamente exigida.

A Check Point publicou uma lista de IOCs associados à campanha observada: endereços IP de infraestrutura VPS atacante (incluindo 45.77.149.152, 209.182.225.136, 38.60.157.139, 162.33.177.101, 45.76.26.42, 144.208.127.155, 38.54.88.201, 38.54.107.167, 66.42.99.200, com adições posteriores em 45.63.104.106, 45.61.136.173, 146.71.81.184, 208.123.119.167, 64.176.228.109, 158.247.195.147 e 144.208.127.134) e dois hashes de arquivo. Equipes de resposta a incidentes devem priorizar auditoria forense de logs e revisão de configuração a partir de 7 de maio de 2026, data da exploração mais antiga observada, com atenção a sessões de Remote Access/Mobile Access via IKEv1 estabelecidas sem correlação de autenticação de usuário válida, e a atividade pós-acesso ligada a binários ELF de ransomware Qilin para Linux baixados de infraestrutura externa. Fora desses IOCs pontuais, as fontes não descrevem uma assinatura de log genérica e confiável para tentativas de exploração — a ausência de tais IOCs na rede não garante que o ambiente não tenha sido alvo.