Vulnérabilité critique dans Checkpoint VPN

Produits concernés

• Check Point Security Gateway avec blade Remote Access VPN, versions R80.20.X à R82.10

• Check Point Security Gateway avec blade Mobile Access/SSL VPN, versions R80.20.X à R82.10

• Check Point Spark Firewall, versions R80.20.X à R82.10

Prérequis

• Accès réseau à la gateway VPN (exposée sur Internet par définition)

• Configuration utilisant le protocole d'échange de clés IKEv1

• Absence de certificat machine obligatoire pour les connexions.

• Option clients legacy doit être active

Risques

• Contournement de l'authentification VPN

• Accès au réseau interne de l'entreprise sans identifiants valides

• Mouvement latéral post-accès

• Exfiltration de données sensibles

• Déploiement de malware sur les actifs du réseau interne

Résumé

Une vulnérabilité critique de type contournement d'authentification affectant les solutions Check Point Remote Access VPN, Mobile Access et Spark Firewall a été publiée par l'éditeur Check Point Research le 8 juin 2026.

Les solutions CheckPoint permettent aux utilisateurs distants et mobiles de se connecter de manière sécurisée aux ressources du réseau d'entreprise (messagerie, applications métiers, postes de travail).

CVE-2026-50751 : Une vulnérabilité dans le mécanisme de validation de certificats lors de l'échange de clés IKEv1 des solutions pourrait permettre à un attaquant distant non authentifié d'établir une session VPN complète sans posséder de mot de passe valide.

Une fois la vulnérabilité exploitée, l'attaquant obtient un accès réseau à l'environnement interne de l'organisation. Il peut alors effectuer des mouvements latéraux, tenter de récupérer des identifiants, exfiltrer des données ou déployer des malwares sur les systèmes accessibles depuis la machine compromise.

Des exploitations actives ont déjà été observées depuis le 7 mai 2026 et sont devenues significative début juin 2026 par des groupes d’attaquants.

Étant donné le risque associé et l'exploitation active documentée, nous préconisons de corriger cette vulnérabilité sans plus attendre.

Solutions

Détection de la compromission :

Afin de vérifier si un équipement est compromis, vous pouvez :

• Auditer les logs VPN à partir du 7 mai 2026 (date des premières exploitations connues) à la recherche de connexions IKEv1 anormales ou d'authentifications réussies sans interaction utilisateur connue

• Vérifier la présence des IoC (fournis dans le bulletin de l'éditeur en référence) dans les logs de la solution.

Remédiation :

Appliquer les correctifs fournis par CheckPoint pour les versions affectées :

• R80.20.X (Fin de support) - Migrer vers une version maintenue

• R80.40 (Fin de support) - Migrer vers une version maintenue

• R81 (Fin de support) - Migrer vers une version maintenue

• R81.10 (Fin de support) - Migrer vers une version maintenue

• R81.10.X : correctifs disponible

• R81.20 : correctifs disponible

• R82 : correctifs disponible

• R82.00.X : correctifs disponible

• R82.10 : correctifs disponible