CVE-2026-50751: bypass di autenticazione nella VPN di Check Point, già sfruttato attivamente

CVE-2026-50751: bypass di autenticazione nella VPN di Check Point, già sfruttato attivamente

In breve

È stata pubblicata una vulnerabilità critica (CVSS 9.3) che interessa i prodotti VPN di Check Point e che figura già nel catalogo delle vulnerabilità sfruttate attivamente di CISA (KEV) [1][2]. Il difetto consente a un aggressore remoto, senza bisogno di credenziali, di stabilire una connessione VPN di accesso remoto aggirando l'autenticazione dell'utente [1]. Se la tua organizzazione utilizza Check Point Security Gateway con le funzionalità Remote Access o Mobile Access, la raccomandazione è di dare priorità già da oggi alla verifica delle patch disponibili del produttore e di controllare le sessioni VPN attive.

Cos'è e perché è importante

Secondo la scheda tecnica pubblicata su NVD, si tratta di un difetto logico nella convalida dei certificati all'interno dello scambio di chiavi IKEv1, un protocollo già considerato obsoleto (deprecated) ma ancora in uso in molti ambienti di accesso remoto [1]. Questo difetto consente a un aggressore non autenticato di aggirare il controllo di nome utente e password, stabilendo una connessione VPN di accesso remoto valida senza disporre di credenziali legittime [1].

In pratica, questo significa che un attore esterno potrebbe ottenere una via d'accesso alla rete aziendale attraverso l'infrastruttura stessa pensata per proteggere l'accesso remoto: il gateway VPN. Si tratta di uno scenario particolarmente delicato perché questi dispositivi si trovano solitamente sul perimetro, con visibilità diretta da internet, e fungono da porta d'ingresso verso i sistemi interni.

La vulnerabilità è stata pubblicata l'8 giugno 2026 con severità "critical" secondo NVD [1], e CISA l'ha inserita nel proprio catalogo KEV, il che conferma l'esistenza di uno sfruttamento attivo accertato da questa agenzia [2]. Al momento non disponiamo di ulteriori dettagli pubblici verificati sul volume o sull'origine di tale sfruttamento.

Chi è interessato

Il produttore interessato è Check Point [1]. La descrizione ufficiale identifica come componenti coinvolti le funzionalità Remote Access e Mobile Access legate allo scambio di chiavi IKEv1 [1]. Non disponiamo di un elenco verificato di versioni o modelli specifici interessati, pertanto se la tua organizzazione gestisce gateway Check Point con VPN di accesso remoto abilitata, è opportuno considerare questo avviso come potenzialmente rilevante e confermare lo stato esatto direttamente con la documentazione e gli avvisi di sicurezza del produttore stesso.

Nel nostro radar di intelligence, classifichiamo questa vulnerabilità nella categoria "Autenticazione / accesso non autorizzato", con severità critica, proprio perché si tratta di un bypass di autenticazione in un componente perimetrale di accesso remoto: il tipo di difetto che combina esposizione a internet, assenza di necessità di credenziali e potenziale accesso diretto alla rete interna.

Come sapere se sei vulnerabile

Prima di tutto, verifica se la tua organizzazione ha implementato gateway Check Point con funzionalità Remote Access o Mobile Access accessibili da internet: sono questi quelli indicati come coinvolti dalla descrizione ufficiale [1]. Controlla inoltre se lo scambio di chiavi configurato in tali connessioni VPN utilizza ancora IKEv1, dato che è il protocollo menzionato nel difetto [1].

Oltre alla verifica interna, è consigliabile mappare quali asset della tua organizzazione sono effettivamente esposti verso l'esterno: gateway VPN, portali di accesso remoto e qualsiasi servizio Check Point visibile da internet sono i primi candidati da controllare. Conoscere con precisione tale superficie esposta è, in generale, il primo passo di fronte a qualsiasi avviso di questo tipo, tanto più quando riguarda infrastrutture di accesso remoto sul perimetro.

Come proteggersi

• Consulta al più presto gli avvisi e le patch ufficiali di Check Point per i tuoi prodotti e le versioni specifiche, e applicali seguendo la procedura del tuo fornitore o partner tecnologico.
• Verifica le connessioni VPN attive e recenti sui tuoi gateway, cercando sessioni che non corrispondano a utenti o dispositivi riconosciuti.
• Se è tecnicamente fattibile e non compromette servizi critici, valuta di disabilitare o migrare da IKEv1 verso protocolli di scambio di chiavi più recenti, poiché è il componente indicato nella descrizione del difetto [1].
• Rafforza il monitoraggio dei gateway di accesso remoto nelle prossime settimane, dato che la vulnerabilità è presente nel catalogo KEV ed esiste evidenza di sfruttamento attivo [2].
• Documenta quali sistemi Check Point possiede la tua organizzazione e la loro reale esposizione a internet; è la base per dare priorità a qualsiasi intervento di remediation.

Domande frequenti

Questo significa che siamo già stati attaccati?

Non necessariamente. Il fatto che il CVE sia presente nel catalogo KEV conferma che CISA ha accertato uno sfruttamento attivo in generale [2], non che ogni organizzazione con prodotti Check Point sia stata attaccata.

Devo applicare la patch in modo obbligatorio per normativa?

L'inclusione nel catalogo KEV comporta scadenze di remediation obbligatorie per le agenzie federali civili degli Stati Uniti (in base alla direttiva BOD 22-01). Per le altre organizzazioni non si tratta di un obbligo normativo, ma è comunque un segnale forte del fatto che conviene dare priorità all'applicazione della patch il prima possibile.

Cosa faccio se non so se abbiamo Remote Access o Mobile Access attivati?

È un buon punto di partenza per il tuo team IT o il tuo fornitore di sicurezza: verificare la configurazione dei gateway Check Point e confermare quali funzionalità di accesso remoto sono abilitate ed esposte a internet.

Fonti

• [1] NVD — Scheda ufficiale di CVE-2026-50751: nvd.nist.gov/vuln/detail/CVE-2026-50751
• [2] CISA — Catalogo delle vulnerabilità sfruttate note (KEV): cisa.gov/known-exploited-vulnerabilities-catalog