Check Point VPNの認証回避CVE-2026-50751の悪用
Check Pointの2026年6月8日の告知によると、Remote Access VPNとMobile Accessを非推奨のIKEv1鍵交換で使う構成に認証回避の脆弱性CVE-2026-50751があり、これまでに観測した悪用は世界の数十の標的組織に限られる［1］。うち1件では、Qilinランサムウェアのアフィリエイトに関連する侵害後の活動を確認した［1］。
脆弱性の内容
Check Pointは告知で、内部の資源へのアクセスや権限の昇格には、認証後の追加の活動が要ると説明した［1］。CVE-2026-50751の調査の一環として、Check Point Researchは自社のBLASTで、影響を受けたVPNの部品を広く調べ、追加の脆弱性CVE-2026-50752を特定した［1］。
| 項目 | CVE-2026-50751 | CVE-2026-50752 | 資料 |
|---|---|---|---|
| 対象の機能 | Remote Access VPNとMobile Accessの利用者認証（非推奨のIKEv1鍵交換） | site-to-site VPNの証明書検証（非推奨のIKEv1鍵交換） | ［1］ |
| 悪用されたときの影響 | 証明書の検証の論理の欠陥を突き、有効なパスワードを持たずにVPNセッションを確立できる | 特定の条件の下で、site-to-site VPNの通信への中間者の介入を許すおそれがある | ［1］ |
| CVSS | 9.3（CVEレコードではCheck PointがCVSS 4.0、CISAがCVSS 3.1で付与） | 7.4 | ［1、10］ |
| CWE | CWE-287（Improper Authentication） | - | ［10］ |
| 悪用 | 実際に悪用されていることを把握している | 悪用は観測しておらず、悪用の報告も無い | ［1、2、3］ |
原因の解析と回避の条件
watchTowr Labsは、修正前のR82.10 Jumbo Hotfix Take 19と、それにsk185033のhotfixを当てた版を比べて原因を調べた［18］。watchTowrの分析では、証明書の署名を検証するかを決めるフラグは、接続してきたクライアントが送るVendor IDのペイロードの値から書き込まれていた［18］。修正版はクライアントの指定を使わず、ゲートウェイ自身のマシン証明書の方針を参照する［18］。
watchTowrの検証では、使い捨ての鍵で作った自己署名証明書と無作為な署名でゲートウェイの認証を通れた［18］。ゲートウェイが確かめるのはsubjectのDNが登録済みのRemote Access利用者に当たるかだけで、攻撃者に要るのは有効な利用者名と、ゲートウェイの公開TLS証明書にあるICAの組織名だと書いた［18］。誤った利用者名と正しい利用者名では応答が異なるため、同じ試行で利用者名を推測できるとも指摘した［18］。
UDPの500番と4500番が遮断されたときにTCPの443番でIKEを運ぶVisitor Modeでも、watchTowrは同じく認証を回避できた［18］。利用者の認証方式4つのうち、Certificate、Certificate with enrollment、Mixedでは回避でき、Legacy（利用者名とパスワード）はXAUTHのパスワードが残るため回避できないとした［18］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | 最も早い悪用が観測された〔注1〕 | ［1］ |
| 2026年 | Check Point Research | 不審な活動の兆候を受けて調査を始めた | ［1］ |
| 2026年 | Check Point | R81.20 Take 141用のhotfixを公開した | ［5］ |
| 2026年 | Check Point | 告知で悪用と修正を公表し、CVEレコードを公開した | ［1、10］ |
| 2026年 | CISA | KEVカタログに追加し、対応期限を6月11日とした | ［11］ |
| 2026年 | カナダ・サイバーセキュリティセンター | 注意喚起AV26-559を出した | ［14］ |
| 2026年 | HKCERT、BSI、シンガポールのCSA | それぞれ注意喚起を出した | ［15、16、17］ |
| 2026年 | JPCERT/CC、IPA | それぞれ注意喚起を出した | ［12、13］ |
| 2026年 | Check Point | 侵害の調査手引きを作成した | ［4］ |
| 2026年 | スターティア | Spark Firewallの一斉ファームウェア更新を告知した | ［7］ |
| 2026年 | スターティア | 一斉更新の作業を終え、Capsule VPNの接続不具合を告知した | ［8、9］ |
| 2026年 | Check Point | sk185033の推奨手順にR81.10 Take 187を加えた | ［2］ |
| 2026年 | watchTowr Labs | 原因の分析と検知用のツールを公開した | ［18］ |
| 2026年 | Check Point | sk185033に攻撃者のIPアドレスとIPSの節を加えた | ［2］ |
| 2026年 | Check Point | sk185033の推奨手順にR82.10 Take 24、R82 Take 107、R81.20 Take 146を加えた | ［2］ |
対象の製品と版
Check Pointは告知で、影響する製品をMobile Access / SSL VPN、Remote Access VPN、Spark Firewallと示した［1］。CNAのCheck PointはCVEレコードで、製品名をQuantum Security GatewayとSpark Firewallsとした［10］。
sk185033によると、CVE-2026-50751の影響を受けるのは4つの条件をすべて満たす構成である［2］。
- VPN Remote AccessかMobile Accessが有効［2］
- リモートアクセスでIKEv1が有効［2］
- ゲートウェイが旧来のRemote Accessクライアントを受け付ける［2］
- ゲートウェイが接続にマシン証明書を求めない［2］
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Security Gateway | R82.10 Jumbo Hotfix Take 19以下 | R82.10 Jumbo Hotfix Accumulator Take 24、Hotfix | ［2］ |
| Security Gateway | R82 Jumbo Hotfix Take 103以下 | R82 Jumbo Hotfix Accumulator Take 107、Hotfix | ［2］ |
| Security Gateway | R81.20 Jumbo Hotfix Take 141以下 | R81.20 Jumbo Hotfix Accumulator Take 146、Hotfix | ［2］ |
| Security Gateway | R81.10（EOS） | R81.10 Jumbo Hotfix Accumulator Take 187 | ［2］ |
| Security Gateway | R81（EOS）、R80.40（EOS） | - | ［2］ |
| Spark Firewall | R82.00.X | R82.00.10 Build 998002216 | ［2］ |
| Spark Firewall | R81.10.X | R81.10.17 Build 996004901 | ［2］ |
| Spark Firewall | R80.20.X（EOS） | - | ［2］ |
Check Pointはsk185033で、中央管理の機器ではこれらのBuildを入れる前に、Security Managementを証明書とCRLの検証の対応を含む状態に更新するよう求めた［2］。Rapid7は、影響する9つの版系列のうち4つ（R80.20.X、R80.40、R81、R81.10）がサポート終了だと指摘した［19］。
Check Pointはsk185035で、CVE-2026-50752はsite-to-site VPNが有効な構成に当てはまると説明した［3］。ほかの条件は、VPNコミュニティがIKEv1を使い、参加するゲートウェイが証明書で認証し（事前共有鍵による認証は対象外）、DAIPゲートウェイでもLSVコミュニティでもないことである［3］。
悪用の状況
Check Pointの告知によると、CVE-2026-50751の悪用の試行は6月上旬に増えた［1］。Check Pointは侵害後の活動から、悪用の主体は金銭目的でQilinランサムウェアを使うと中程度の確度で評価した［1］。この攻撃者の基盤は、Palo Alto、Fortinet、F5が公表したものなど、他のVPN関連の脆弱性も悪用しているとCheck Pointはみている［1］。
Check Pointは、攻撃者が通信にToxプロトコルを使う可能性を示す兆候を特定し、金銭目的のランサムウェアの攻撃者によく見られる型だとした［1］。攻撃には専用のVPS基盤が使われ、観測した基盤にはKaupo Cloud HK、Shock Hosting、Vultr HoldingsのIPアドレスが含まれる［1］。一部の事例では被害組織の地域とVPSの位置に相関があり、台湾の組織への攻撃は台湾に位置する基盤からだった［1］。侵入の後には、QilinのLinux版ランサムウェアのバイナリと、攻撃者の基盤から悪性のELFファイルを取得しようとする試みの間に、帰属上の重なりを観測した［1］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| IPアドレス（6月8日の公開時） | 45.77.149[.]152、209.182.225[.]136、38.60.157[.]139、162.33.177[.]101、45.76.26[.]42 | Check Point | ［1］ |
| IPアドレス（6月8日の公開時） | 144.208.127[.]155、38.54.88[.]201、38.54.107[.]167、66.42.99[.]200 | Check Point | ［1］ |
| IPアドレス（6月9日の追加） | 45.63.104[.]106、45.61.136[.]173 | Check Point | ［1］ |
| IPアドレス（6月10日の追加） | 146.71.81[.]184 | Check Point | ［1］ |
| IPアドレス（6月11日の追加） | 208.123.119[.]167、64.176.228[.]109、158.247.195[.]147、144.208.127[.]134 | Check Point | ［1］ |
| ハッシュ値 | 52fda5c1b9704544f32ee98d9060e689、51d39aa39478beeac94f2d12f682ecce | Check Point | ［1］ |
Rapid7の6月8日の記事では、CVE-2026-50751に帰属できる事例を高い確度で2件観測したと報告した［19］。
The Hacker Newsは、Check Point Researchがメールで、把握している限りこの脆弱性が他の攻撃者に広く入手可能だった兆候は無く、活動は明らかに機会的で、特定の組織ではなく脆弱な組織を狙うと答えたと報じた［20］。攻撃の一部が、ランサムウェアの攻撃者が企業のVPN機器を初期侵入に悪用したとするCtrl-Alt-Intelの前月の報告と重なるとも報じた［20］。
watchTowr Labsの記事によると、攻撃者がすでに1か月にわたって手にしていたことを理由に、検知用の成果物を作るツール（Detection Artefact Generator）をGitHubで公開した［18］。
当局とCSIRTの注意喚起
CISAはKEVで、ベンダーの指示に従って緩和策を適用し、クラウドサービスはBOD 22-01の指針に従い、緩和策が無ければ製品の使用をやめるよう求めた［11］。カナダ・サイバーセキュリティセンターは、注意喚起のUpdate 1でCISAのKEVへの追加を書き足した［14］。
JPCERT/CCの注意喚起〔注2〕によると、影響を受ける可能性がある製品が国内で広く利用されていることを確認している［12］。対策と軽減策の適用と、侵害の有無の調査を呼びかけた［12］。
IPAは、今後被害が拡大するおそれがあるとして、製品開発者の手順に従ったhotfixの適用とログの確認を求めた［13］。影響を受けるシステムにEOSのものが含まれるとし、ライフサイクルポリシーなどを踏まえて移行などを検討するよう促した［13］。
HKCERTの注意喚起では、悪用は確認されているものの、成立には複数の前提条件が要るため、リスクの評価はMedium Riskである［15］。シンガポールのCSAは、攻撃者が積極的に悪用しているとして、セキュリティ更新を直ちに適用するよう求めた［17］。
BSIはITセキュリティ情報BITS-H Nr. 2026-263373-1032で、重大度を「2 / Gelb」と示した［16］。技術的な詳細やエクスプロイトはまだ公開されていないものの、短期間でほかの攻撃者もこの脆弱性を悪用すると想定され、さらなるランサムウェアの被害がありうるとした［16］。5月上旬以降に観測された攻撃を踏まえ、攻撃者がこの数週間に複数の組織の内部ネットワークへのアクセスを得た可能性があり、侵害が無いことを確かめるのが欠かせないとも書いた［16］。
修正と回避策
Check Pointは告知で、影響を受けるすべてのSecurity Gatewayを公開したhotfixに更新するよう求めた［1］。IKEv1鍵交換を使う顧客には、提供中のセキュリティ更新を直ちに適用するよう強く勧めた［1］。インシデント対応の担当者には、最も早く観測した悪用の日からのログの調査と設定の見直しを優先するよう求めた［1］。
Check Pointのsk185033では、緩和策は3つで、いずれかを適用する［2］。
1つ目の方法では、StrongSWAN、L2TP、旧来のシステム（ATMなど）で動く古いクライアントが接続できなくなる［2］。1つ目と3つ目の方法は、ローカル管理のSpark Firewallでは対象外である［2］。R81.10.Xでは、StrongSWANクライアントを使わなければIKEv2のRemote Access VPNに対応しない［2］。Check Pointはsk185035で、CVE-2026-50752の緩和策として、すべてのVPNコミュニティをIKEv2だけにするよう示した［3］。
侵害の有無の調べ方
Check Pointのsk185033では、ログの検索の範囲は少なくとも5月7日〜6月5日で、より広く確かめるなら直近の60日間を検索してよい［2］。IKEv1のQuick Modeの完了を示すKey Installのイベントのうち、パッチの適用か緩和策より前のものは不審として扱い、見覚えの無い利用者や送信元IPアドレスを調べる［2］。
Check Pointはsk185033で、攻撃の試行と走査を見えるようにするため、IPSの保護「IKEv1 Remote Access Authentication Bypass PoC Exploit (CVE-2026-50751)」を有効にするよう勧めた［2］。この保護は修正ではなく、hotfixか緩和策に加えて使うとした［2］。Check Point Researchも週報で、Check PointのIPSがこの保護を提供すると書いた［6］。
Check Pointの調査手引きによると、利用者の証明書のsubjectがCN=Default、CN=Defautl（原文どおりの綴り）、CN=usertestのKey Installのイベントは、送信元や宛先のIPアドレスがIOCと一致しなくても確かめる［4］。観測した侵害後の活動には、SSH・LDAP・Kerberos・SMB・MS-RPC Endpoint Mapper・MS-SQL・Telnetなど複数のサービスとポートへの探索と内部の偵察が含まれうるとした［4］。Rapid7は、hotfixを適用した後も侵害の痕跡を探すよう強く勧めた［19］。
国内の関係組織の対応
スターティアは、ルーターモードで稼働しリモートアクセスVPN機能が有効なSpark Firewallを対象に、リモートで一斉にファームウェアを更新すると告知した［7］。
作業は6月11日0時〜6時に順に行い、数分程度のインターネットとVPN通信の切断が伴う［7］。L2TPなどのクライアント種別による違いやコミュニティVPNへの影響などの詳細な条件は、メーカーが確認中だとした［7］。
スターティアの完了の告知では、対象機器の最新ファームウェアへの更新の作業が終わり、正常に終わらなかった機器には順次個別に案内すると書いた［8］。スターティアは別の告知で、更新の影響で一部の環境で「Capsule VPN」によるリモートアクセス接続が正しく行えない不具合が判明したとし、代替策として「CheckPoint Endpoint Security（VPNクライアント）」への切り替えを求めた［9］。メーカーには早期の改善と対応を求めている［9］。
未公表の事項
- 悪用を受けた組織の正確な数、業種、国（日本国内の被害の有無を含む）
- Qilinランサムウェアに関連する1件での被害の内容
- Qilinに関連する事例以外の攻撃者
- 攻撃者がこの脆弱性を知った経路
- スターティアの告知したCapsule VPNの接続不具合の解消
注
出典
当事者
- ［1］Check Point Software Technologies Ltd.『Security Advisory – Action Required – Active Exploitation of Check Point VPN Authentication Bypass (CVE-2026-50751)』（2026年6月8日公開、2026年6月11日更新）
- ［2］Check Point Software Technologies Ltd.『sk185033 - CVE-2026-50751 - User Authentication bypass on VPN Remote Access and Mobile Access in deprecated IKEv1 key exchange』（2026年6月4日公開、2026年9月24日更新）
- ［3］Check Point Software Technologies Ltd.『sk185035 - CVE-2026-50752 - VPN site to site certificate bypass vulnerability in deprecated IKEv1 key exchange』（2026年6月7日公開、2026年6月25日更新）
- ［4］Check Point Software Technologies Ltd.『IKEv1 Certificate Authentication Bypass Hunting Guide』（2026年6月10日公開、PDF）
- ［5］Check Point Software Technologies Ltd.『R81.20 T141 deprecated IKEv1 vulnerability hotfix』（2026年6月7日公開）
- ［6］Check Point Software Technologies Ltd.『15th June – Threat Intelligence Report』（2026年6月15日公開）
関係組織
- ［7］スターティア株式会社『【重要】Check Point製品の脆弱性[CVE-2026-50751 / CVE-2026-50752]に伴う緊急メンテナンスのお知らせ』（2026年6月10日公開）
- ［8］スターティア株式会社『【完了のご報告】Check Point製品の脆弱性に関する緊急メンテナンス完了のお知らせ』（2026年6月11日公開）
- ［9］スターティア株式会社『【障害発生および代替策のご案内】ファームウェア更新後のCapsule VPN接続不具合について』（2026年6月11日公開）
公的機関
- ［10］CVE Program『CVE-2026-50751: User Authentication Bypass in VPN Remote Access and Mobile Access』（2026年6月8日公開、2026年8月4日更新）
- ［11］National Institute of Standards and Technology『CVE-2026-50751』（2026年6月8日公開、2026年8月4日更新）
- ［12］一般社団法人JPCERTコーディネーションセンター『Check Point Software Technologies社製品における認証バイパスの脆弱性（CVE-2026-50751）に関する注意喚起』（2026年6月10日公開）
- ［13］独立行政法人情報処理推進機構『Check Point Software Technologies製品の脆弱性対策について(CVE-2026-50751)』（2026年6月10日公開）
- ［14］Canadian Centre for Cyber Security『Check Point security advisory (AV26-559) - Update 1』（2026年6月8日公開、2026年6月9日更新）
- ［15］Hong Kong Computer Emergency Response Team Coordination Centre『Check Point Products Multiple Vulnerabilities』（2026年6月9日公開）
- ［16］Bundesamt für Sicherheit in der Informationstechnik『Check Point Remote Access VPN und Mobile Access: Aktiv ausgenutzte Schwachstelle ermöglicht Aufbau von VPN-Sessions ohne Authentifizierung』（2026年6月9日公開、PDF）
- ［17］Cyber Security Agency of Singapore『Critical Vulnerability in Check Point VPN（AL-2026-070）』（2026年6月9日公開）
調査・観測
- ［18］watchTowr Pte. Ltd.『Marking Your Own Homework (Check Point Remote Access VPN IKEv1 Authentication Bypass CVE-2026-50751)』（2026年6月12日公開）
- ［19］Rapid7, Inc.『Critical Check Point VPN Zero-Day Exploited in the Wild (CVE-2026-50751)』（2026年6月8日公開、2026年7月1日更新）
報道機関
- ［20］The Hacker News『Critical Check Point VPN Flaw Exploited to Bypass Passwords in IKEv1 Setups』（2026年6月8日公開）
- ［21］Industry Dive『Check Point warns of zero-day flaw targeted by ransomware affiliate』（2026年6月9日公開）
更新記録
- 2026年6月9日：公開した。
- 2026年6月10日：Check Pointの告知の6月10日の更新（出典1）で加わったIPアドレス、Check Pointの調査手引き（出典4）、スターティアの告知（出典7）、JPCERT/CCとIPAの注意喚起（出典12、13）を加え、時系列・悪用の状況・修正と回避策の節を改めた。
- 2026年6月11日：Check Pointの告知の6月11日の更新（出典1）で加わったIPアドレス、sk185033の6月11日の改訂（出典2）で加わったR81.10 Take 187、スターティアの作業完了と不具合の告知（出典8、9）を加え、時系列・対象の製品と版・悪用の状況・修正と回避策の節を改めた。
- 2026年6月12日：watchTowr Labsの分析（出典18）を加え、脆弱性の内容・時系列・悪用の状況の節を改めた。
- 2026年6月13日：sk185033の6月13日の改訂（出典2）で加わったIPSの保護の勧めを加え、時系列・修正と回避策の節を改めた。
- 2026年6月15日：Check Point Researchの週報（出典6）と、sk185033の6月15日の改訂（出典2）で加わったR82.10 Take 24、R82 Take 107、R81.20 Take 146を加え、時系列・対象の製品と版・修正と回避策の節を改めた。
- 2026年6月25日：sk185035の6月25日の更新（出典3）を出典の節に反映した。
- 2026年7月1日：Rapid7の報告の7月1日の更新（出典19）を出典の節に反映した。
- 2026年8月4日：CVEレコードとNVDの8月4日の更新（出典10、11）を出典の節に反映した。
- 2026年9月24日：sk185033の9月24日の更新（出典2）を出典の節に反映した。