Check Point VPNの認証回避 脆弱性-サイバー攻撃への悪用 確認(CVE-2026-50751)

CVE-2026-50752も同時に修正

Check Pointは、CVE-2026-50751の調査の過程で、追加の脆弱性CVE-2026-50752も特定し、修正したと説明しています。

CVE-2026-50752は、非推奨のIKEv1鍵交換における証明書検証ロジックの問題で、特定条件下でサイト間VPN通信に対する中間者攻撃を許す可能性があります。CVSSは7.4で、Check Pointはこの脆弱性の悪用は確認していないとしています。

なぜ危険なのか

CVE-2026-50751の危険性は、VPNの認証を回避できる点にあります。

VPNは、社外から社内ネットワークへ入るための正規入口です。ここで認証回避が成立すると、攻撃者はフィッシングでユーザーをだます前に、境界装置を直接悪用して内部ネットワークへ足場を作れる可能性があります。

特に危険なのは、VPN接続後のアクセス範囲が広い環境です。

Check Pointは、少なくとも1件でQilinランサムウェアのアフィリエイトに関連する侵害後活動を確認しています。VPN機器の脆弱性は、ランサムウェア攻撃の初期侵入経路として悪用されやすい点を改めて意識する必要があります。

確認すべきIoC

Check Pointは、CVE-2026-50751の悪用調査に関連するIoCを公開しています。公式ブログでは、複数のIPアドレスとハッシュ値が示されています。

これらのIoCは、防御・調査目的で利用してください。ただし、IoCに一致しないから安全とは判断できません。攻撃者はインフラを変更するため、ログ調査ではIoC照合に加え、IKEv1、VPN接続成功、通常外の送信元、深夜帯の接続、VPN後の内部通信を確認する必要があります。

すぐに実施すべき対応

Step 1：Check Point VPNの利用有無を確認する

まず、自社でCheck Point Remote Access VPN、Mobile Access、Spark Firewallを利用しているか確認してください。

確認対象は、本社だけではありません。海外拠点、子会社、工場、委託先運用環境、DR環境、検証環境も含めて確認する必要があります。

Step 2：IKEv1が有効か確認する

今回の脆弱性は、非推奨のIKEv1を利用する構成が重要な条件です。

SmartConsoleやGateway設定で、Remote Access VPNおよびMobile AccessにおいてIKEv1が有効になっていないか確認してください。

確認すべき項目は以下です。

Step 3：ホットフィックスを適用する

Check Pointは、影響を受けるSecurity Gatewayに対し、公開済みホットフィックスを適用するよう案内しています。

更新前には、以下を確認してください。

Step 4：すぐに更新できない場合の緩和策を実施する

NHS England Digitalは、Check Pointが示す緩和策として、少なくとも1つの対策を適用するよう案内しています。

最も望ましい対応は、ホットフィックス適用とIKEv1からの移行です。業務都合ですぐにパッチを適用できない場合でも、IKEv1の無効化やマシン証明書必須化を先に実施できるか検討してください。

Step 5：2026年5月7日以降のログを調査する

Check Pointは、最も早い悪用観測日である2026年5月7日以降のフォレンジックログ監査と設定レビューを優先するよう案内しています。

確認すべきログは以下です。

Check Pointは、攻撃者が専用VPSインフラを使用し、Kaupo Cloud HK、Shock Hosting、Vultr Holdingsなどのホスティング事業者のIPを使っていたと説明しています。

VPN後の内部アクセス確認

CVE-2026-50751は、VPN接続を確立できる脆弱性です。侵害調査では、VPN接続の有無だけでなく、接続後に内部で何が行われたかを確認する必要があります。

Check Pointの公式ブログでは、Qilinランサムウェア関連活動との重なりや、Toxプロトコルの利用を示す兆候、悪意あるELFファイルのダウンロード試行への言及があります。VPN突破後の調査では、Linux系ツールやデータ持ち出しツールの実行痕跡も確認してください。

情報システム部門が確認すべきポイント

IKEv1を例外運用として残していないか確認する

IKEv1は古いVPNクライアントや一部の接続方式との互換性のために残されていることがあります。

しかし、今回のような脆弱性が出ると、互換性のために残した設定が境界侵害の入口になります。業務上必要な接続先を棚卸しし、IKEv2へ移行できないクライアントや拠点を特定してください。

VPN接続後のアクセス範囲を狭める

VPNを突破された場合でも、内部全体へ到達できないようにすることが重要です。

VPN装置を通常のサーバより優先して更新する

VPN、ファイアウォール、SASE、リモートアクセス装置は、インターネットに公開される境界機器です。

脆弱性が悪用された場合、EDRが入っていないアプライアンス上で侵害が進み、内部ネットワークへの入口になります。一般的な社内サーバよりも早いSLAでパッチ適用する運用が必要です。

今後確認すべきこと

CVE-2026-50751は、すでに悪用が確認されています。公開後は、攻撃者が追加の検証やスキャンを行う可能性があります。

参考情報・出典

• Check Point Blog：Security Advisory – Action Required – Active Exploitation of Check Point VPN Authentication Bypass (CVE-2026-50751)
• Check Point：SK185033
• Check Point：SK185035