Check Point ha rilasciato l'8 giugno 2026 un avviso di sicurezza urgente relativo a CVE-2026-50751, una vulnerabilità critica con punteggio CVSS di 9.3 che colpisce i prodotti Remote Access VPN, Mobile Access e Spark Firewall dell'azienda. La falla è già oggetto di sfruttamento attivo da parte di un affiliato del gruppo ransomware Qilin.

Come funziona la vulnerabilità

Il difetto risiede nella gestione del protocollo di scambio delle chiavi IKEv1, considerato obsoleto ma ancora supportato per compatibilità con vecchi client. Un attaccante non autenticato può sfruttare una debolezza nel flusso logico di validazione dei certificati durante la fase di negoziazione IKEv1, ottenendo in questo modo una sessione VPN attiva senza fornire credenziali valide. In pratica, è possibile bypassare completamente il meccanismo di autenticazione.

Sono a rischio le implementazioni configurate per accettare client legacy Remote Access che non richiedono un certificato macchina per la connessione.

Contestualmente alla scoperta di CVE-2026-50751, Check Point ha identificato anche una vulnerabilità correlata, CVE-2026-50752 (CVSS 7.4), nello stesso percorso di codice IKEv1, che potrebbe consentire un attacco man-in-the-middle su tunnel VPN site-to-site in determinate configurazioni. Per quest'ultima non risultano finora sfruttamenti attivi.

Qilin già all'opera

Le prime attività malevole risalgono al 7 maggio 2026, con un'intensificazione significativa registrata nei primi giorni di giugno. Check Point ha attribuito con media confidenza almeno un incidente confermato a un affiliato del ransomware Qilin, già noto per operazioni ad alto impatto nel settore sanitario e delle infrastrutture critiche.

L'azienda descrive la campagna come "limitata in portata" e circoscritta a "diverse decine di organizzazioni", ma la natura della falla — accesso remoto senza autenticazione su VPN aziendali — rende il potenziale di danno molto elevato. Una volta dentro la rete tramite VPN, il gruppo può muoversi lateralmente, esfiltrare dati e distribuire il payload ransomware.

Chi è esposto e come rimediare

La vulnerabilità interessa tutte le versioni supportate dalla R80.20.X fino alla R82.10. Check Point ha già reso disponibili hotfix per ciascuna versione. Il consiglio è di applicare la patch nel più breve tempo possibile.

Come misura di mitigazione immediata, le organizzazioni che non utilizzano client Remote Access legacy possono disabilitare il supporto al protocollo IKEv1 sui propri gateway, eliminando così la superficie d'attacco senza attendere l'aggiornamento.

È fondamentale verificare nei log VPN eventuali sessioni aperte da indirizzi IP insoliti o in orari anomali, specialmente nel periodo compreso tra maggio e giugno 2026, e trattare come potenzialmente compromessi tutti gli account che potrebbero aver stabilito connessioni durante tale finestra temporale.

Contesto: VPN come vettore privilegiato

Questo episodio conferma una tendenza consolidata: le VPN aziendali sono tra i bersagli più ambiti dai gruppi ransomware, perché offrono accesso diretto alla rete interna aziendale. Solo nell'ultimo anno, vulnerabilità analoghe hanno colpito Ivanti, Fortinet e Palo Alto Networks. La presenza di protocolli legacy come IKEv1 — mantenuti per retrocompatibilità — amplia ulteriormente la superficie esposta.

Le aziende che utilizzano prodotti Check Point per l'accesso remoto devono considerare questo aggiornamento come priorità assoluta.