Cyberprzestępcy aktywnie wykorzystują krytyczną lukę umożliwiającą ominięcie uwierzytelniania, która dotyczy wdrożeń sieci VPN firmy Check Point. Istnieją dowody wskazujące, że przynajmniej część działań podejmowanych po przejęciu kontroli nad systemem ma związek z operacjami ransomware.
Organizacje na całym świecie są wzywane do natychmiastowego sprawdzenia i załatania swojej infrastruktury wirtualnych sieci prywatnych (VPN) po tym, jak firma Check Point ujawniła krytyczną lukę, która była aktywnie wykorzystywana w ukierunkowanych atakach na środowiska zdalnego dostępu korzystające ze starszego protokołu Internet Key Exchange w wersji 1 (IKEv1).
Luka, oznaczona jako CVE-2026-50751 i przypisana do wskaźnika ważności CVSS na poziomie 9,3, umożliwia nieautoryzowanym zdalnym atakującym ominięcie mechanizmów uwierzytelniania opartych na hasłach w określonych warunkach wdrożenia. Eksperci ds. bezpieczeństwa ostrzegają, że ta luka podkreśla ciągłe ryzyko związane ze starszymi konfiguracjami VPN, które pozostają w użyciu długo po tym, jak dostępne stały się nowsze i bezpieczniejsze alternatywy.
Według Check Point problem wynika z błędu logicznego w procesie weryfikacji certyfikatów stosowanym podczas uwierzytelniania VPN. Wykorzystując słabe punkty w sposobie weryfikacji certyfikatów w podatnych środowiskach, atakujący mogą nawiązywać sesje VPN z dostępem zdalnym bez posiadania hasła uprawnionego użytkownika.
Chociaż udane wykorzystanie luki nie zapewnia automatycznie pełnego dostępu do systemów wewnętrznych, daje przeciwnikom punkt oparcia w obrębie sieci organizacji, potencjalnie umożliwiając dodatkowe złośliwe działania, w tym eskalację uprawnień, ruchy w sieci, kradzież danych uwierzytelniających i wdrożenie oprogramowania ransomware.
W przeciwieństwie do wielu nowo ujawnionych luk w zabezpieczeniach, które pozostają w sferze teorii do czasu pojawienia się exploitów typu proof-of-concept, firma Check Point potwierdziła, że luka CVE-2026-50751 jest już wykorzystywana w rzeczywistych atakach.
Firma poinformowała, że zaobserwowała podejrzaną aktywność związaną z tą luką już 4 czerwca 2026 r., a badania kryminalistyczne wskazują, że wykorzystywanie luki mogło rozpocząć się kilka tygodni wcześniej, a dowody sięgają 7 maja. Badacze zauważyli, że aktywność ataków znacznie wzrosła w pierwszych dniach czerwca, co sugeruje, że osoby odpowiedzialne za ataki mogły rozszerzyć swoje działania po sprawdzeniu skuteczności exploita na podatnych celach.
Chociaż kampania wydaje się obecnie mieć ograniczoną skalę, analitycy ds. cyberbezpieczeństwa ostrzegają, że liczba dotkniętych nią organizacji może gwałtownie wzrosnąć po publicznym ujawnieniu informacji.
Firma Check Point stwierdziła, że dotychczas ataki dotknęły zaledwie kilkadziesiąt organizacji na całym świecie. Podkreśliła jednak, że wyrafinowani atakujący często prowadzą wysoce selektywne operacje na początkowych etapach kampanii, zanim rozszerzą kryteria wyboru celów.
Luka dotyczy środowisk zdalnego dostępu skonfigurowanych przy użyciu kombinacji starszych ustawień, które nadal są powszechne w niektórych sieciach korporacyjnych.
Aby skutecznie wykorzystać tę lukę, atakujący muszą zidentyfikować systemy spełniające kilka warunków:
- Funkcja zdalnego dostępu VPN lub dostępu mobilnego musi być włączona.
- Protokół IKEv1 musi pozostać włączony dla połączeń zdalnego dostępu.
- Bramy muszą zezwalać na połączenia ze starszymi klientami zdalnego dostępu.
- Środowisko nie może wymagać uwierzytelniania za pomocą certyfikatu urządzenia.
- Nadal muszą być używane podatne na atak wersje oprogramowania.
Gdy te wymagania są spełnione, atakujący mogą wykorzystać słabe punkty procesu weryfikacji certyfikatów, aby nawiązać sesje VPN pomimo braku ważnych danych uwierzytelniających użytkownika.
Ta metoda ataku jest szczególnie niepokojąca, ponieważ urządzenia VPN często służą jako pierwsza linia obrony chroniąca wrażliwe zasoby korporacyjne przed zagrożeniami internetowymi. Pomyślne ominięcie uwierzytelniania może skutecznie zneutralizować jeden z najważniejszych mechanizmów zabezpieczeń chroniących środowiska przedsiębiorstw.
Firma Check Point zidentyfikowała wiele linii produktów, których dotyczy ta luka, w tym zarówno korporacyjne bramy bezpieczeństwa, jak i urządzenia typu firewall.
Wersje, których dotyczy ta luka, to:
- R82.10 Jumbo Hotfix Take 19 lub wcześniejsze
- R82 Jumbo Hotfix Take 103 lub wcześniejsze
- R81.20 Jumbo Hotfix Take 141 lub wcześniejsze
- R81.10 (koniec wsparcia)
- R81 (koniec wsparcia)
- R80.40 (koniec wsparcia)
- R80.20.X (koniec wsparcia)
- R81.10.X
- R82.00.X
Włączenie kilku produktów, dla których zakończono wsparcie, budzi dodatkowe obawy, ponieważ systemy bez wsparcia często pozostają wdrożone w środowiskach operacyjnych pomimo braku regularnych aktualizacji zabezpieczeń.
Starsza infrastruktura stanowi rosnącą powierzchnię ataku zarówno dla cyberprzestępców kierujących się motywami finansowymi, jak i grup zagrożeń sponsorowanych przez państwa.
Jednym z najważniejszych aspektów ustaleń firmy Check Point jest zgłoszony związek między działaniami wykorzystującymi luki w zabezpieczeniach a operatorami oprogramowania ransomware.
Według firmy co najmniej jeden z zaobserwowanych incydentów po wykorzystaniu luki dotyczył infrastruktury powiązanej z partnerem sieci ransomware Qilin, co sugeruje, że podmioty kierujące się motywami finansowymi mogą wykorzystywać tę lukę jako wektor początkowego dostępu.
Operacja ransomware Qilin stała się w ostatnich latach jedną z bardziej aktywnych grup typu ransomware-as-a-service (RaaS). Podobnie jak wiele współczesnych organizacji ransomware, Qilin polega na partnerach, którzy uzyskują wstępny dostęp do sieci ofiar przed wdrożeniem narzędzi szyfrujących, kradzieżą danych i przeprowadzeniem operacji wymuszeniowych.
Dostęp uzyskany dzięki lukom w zabezpieczeniach VPN może zapewnić operatorom oprogramowania ransomware skuteczną metodę omijania zabezpieczeń obwodowych bez konieczności polegania na wiadomościach phishingowych lub kampaniach socjotechnicznych.
Dochodzenie przeprowadzone przez firmę Check Point ujawniło również dowody na istnienie zaawansowanej infrastruktury atakowej, zaprojektowanej w celu wspierania ukierunkowanych operacji.
Badacze zaobserwowali, że atakujący wykorzystywali wirtualne serwery prywatne (VPS) zlokalizowane w określonych regionach geograficznych do atakowania organizacji w odpowiednich krajach. Takie podejście pozwala cyberprzestępcom nadać złośliwemu ruchowi sieciowemu bardziej wiarygodny charakter i potencjalnie ominąć zabezpieczenia oparte na lokalizacji geograficznej.
Po nawiązaniu połączenia VPN atakujący próbowali pobrać złośliwe pliki binarne w formacie ELF z infrastruktury pozostającej pod ich kontrolą.
Pliki ELF (Executable and Linkable Format) są powszechnie używane jako programy wykonywalne w systemach operacyjnych opartych na Linuksie. Ich wdrożenie sugeruje, że atakujący mogą dążyć do zapewnienia trwałości, prowadzenia rozpoznania, kradzieży danych uwierzytelniających lub przygotowania zainfekowanych systemów do późniejszych etapów włamania.
Wykorzystanie infrastruktury VPS dostosowanej geograficznie odzwierciedla taktykę coraz częściej stosowaną przez zaawansowane grupy cyberprzestępcze, które dążą do wtopienia złośliwej aktywności w normalne wzorce ruchu sieciowego.
Kolejnym wartym uwagi odkryciem są wskaźniki sugerujące, że atakujący mogą wykorzystywać protokół Tox do komunikacji.
Tox to zdecentralizowany protokół komunikacyjny typu peer-to-peer, który umożliwia szyfrowaną komunikację bez konieczności korzystania ze scentralizowanych serwerów. Ze względu na swoją architekturę platforma ta od czasu do czasu przyciąga uwagę grup cyberprzestępczych poszukujących niezawodnych kanałów komunikacyjnych, które są trudne do monitorowania lub zakłócania przez obrońców i organy ścigania.
Badacze z Check Point zauważyli, że wykorzystanie tego protokołu obserwowano już w poprzednich kampaniach ransomware o podłożu finansowym.
Chociaż sama obecność wskaźników związanych z Toxem nie pozwala jednoznacznie przypisać tej aktywności konkretnej grupie przestępczej, analitycy uważają, że wpisuje się ona w szerszy schemat działania profesjonalnych cyberprzestępców.
Najnowsze doniesienia wpisują się w utrzymującą się tendencję, w ramach której urządzenia VPN stały się jedną z najczęściej atakowanych kategorii infrastruktury przedsiębiorstw.
W ciągu ostatnich kilku lat cyberprzestępcy wielokrotnie wykorzystywali luki w zabezpieczeniach technologii zdalnego dostępu głównych dostawców, w tym:
- Check Point
- Palo Alto Networks
- Fortinet
- F5 Networks
- Cisco
- Ivanti
- Citrix
Bramki VPN stanowią atrakcyjne cele, ponieważ często znajdują się na granicy między publicznym ruchem internetowym a wewnętrznymi sieciami korporacyjnymi. Udane wykorzystanie luki może zapewnić atakującym uprzywilejowany dostęp, omijając wiele tradycyjnych zabezpieczeń obwodowych.
Organizacje często opóźniają wdrażanie aktualizacji zabezpieczeń infrastruktury VPN z obawy przed zakłóceniami w działaniu, nieświadomie stwarzając okazje dla atakujących.
Firma Check Point stwierdziła, że infrastruktura wykorzystywana w obecnych atakach może również próbować wykorzystać luki w zabezpieczeniach VPN innych dostawców, co sugeruje, że osoby odpowiedzialne za ataki prowadzą szeroko zakrojone działania rozpoznawcze w wielu technologiach.
W trakcie prowadzonego dochodzenia firma Check Point zidentyfikowała drugą lukę w zabezpieczeniach dotyczącą środowisk VPN.
Luka ta, oznaczona numerem CVE-2026-50752, otrzymała ocenę CVSS wynoszącą 7,4 i potencjalnie umożliwia atak typu „man-in-the-middle” (AitM) na połączenia VPN typu site-to-site.
W przeciwieństwie do CVE-2026-50751, badacze nie zaobserwowali dowodów na aktywne wykorzystywanie tej drugiej luki.
Niemniej jednak organizacje powinny zająć się obiema lukami jednocześnie, aby zmniejszyć przyszłe ryzyko i uniemożliwić atakującym wykorzystanie alternatywnych ścieżek ataku.
Zdecydowanie zaleca się zespołom ds. bezpieczeństwa podjęcie natychmiastowych działań.
Zalecane środki obejmują:
- Zainstalowanie najnowszych aktualizacji zabezpieczeń i poprawek firmy Check Point.
- Wyłączenie protokołu IKEv1 wszędzie tam, gdzie jest to możliwe z operacyjnego punktu widzenia, oraz przejście na nowoczesne protokoły VPN.
- Przegląd zasad dostępu zdalnego i wycofanie obsługi starszych klientów VPN.
- Wymaganie uwierzytelniania za pomocą certyfikatu urządzenia oprócz danych logowania użytkownika.
- Przeprowadzenie audytu logów VPN pod kątem nietypowej aktywności uwierzytelniającej od początku maja 2026 r.
- Monitorowanie podejrzanych sesji VPN pochodzących od nieznanych dostawców usług VPS.
- Zbadanie wszelkich dowodów nieautoryzowanego pobierania plików ELF lub aktywności po uwierzytelnieniu.
- Przegląd aktywności kont uprzywilejowanych pod kątem oznak ruchu bocznego lub naruszenia danych uwierzytelniających.
Organizacje korzystające z produktów, których wsparcie techniczne dobiegło końca, powinny nadać priorytet planom migracji, ponieważ systemy nieobsługiwane mogą być narażone na zwiększone ryzyko związane z przyszłymi lukami w zabezpieczeniach.
Wykorzystanie luki CVE-2026-50751 podkreśla powracające wyzwanie, przed którym stają specjaliści ds. bezpieczeństwa w przedsiębiorstwach: znalezienie równowagi między ciągłością działania a modernizacją cyberbezpieczeństwa.
Chociaż protokół IKEv1 od dawna uznawany jest za przestarzały w porównaniu z nowszymi standardami, wymogi dotyczące kompatybilności wstecznej często powodują, że starsze protokoły pozostają włączone jeszcze wiele lat po tym, jak zostały wycofane.
Cyberprzestępcy nadal wykorzystują te luki, atakując organizacje, które opóźniły działania modernizacyjne lub zachowały starsze konfiguracje ze względów biznesowych.
Ponieważ grupy ransomware coraz częściej skupiają się na wykorzystywaniu infrastruktury podłączonej do Internetu, zamiast polegać wyłącznie na kampaniach phishingowych, luki w zabezpieczeniach urządzeń VPN pozostają jednym z najpoważniejszych zagrożeń dla bezpieczeństwa, przed którymi stoją obecnie przedsiębiorstwa.
W związku z trwającym już aktywnym wykorzystywaniem tej luki oraz pojawiającymi się dowodami na aktywność związaną z oprogramowaniem ransomware, eksperci ds. cyberbezpieczeństwa ostrzegają, że organizacje powinny potraktować tę lukę jako pilny priorytet i założyć, że niezałatane systemy podłączone do Internetu mogły już stać się celem ataku.
