Alerta de ciberseguridad: Explotación activa de una falla crítica en soluciones VPN de Check Point
Check Point ha emitido una advertencia urgente sobre la explotación activa de una vulnerabilidad crítica que afecta a sus implementaciones de Remote Access VPN y Mobile Access. El fallo, identificado como CVE-2026-50751, posee una puntuación CVSS de 9.3, lo que la sitúa en un nivel de severidad crítica debido a su capacidad para comprometer la seguridad perimetral de las organizaciones.
¿En qué consiste el fallo técnico?
La vulnerabilidad reside en una debilidad del flujo lógico durante la validación de certificados cuando se utiliza el protocolo de intercambio de claves IKEv1 (un protocolo antiguo y actualmente desaconsejado). Esta falla permite que un atacante remoto no autenticado eluda el proceso de autenticación de usuario, estableciendo una conexión VPN sin necesidad de poseer una contraseña válida.
Según el comunicado oficial de Check Point, aunque el atacante logra establecer la sesión VPN, aún podría requerirse actividad adicional post-autenticación para escalar privilegios o acceder a recursos internos específicos. Sin embargo, el acceso inicial ya representa un riesgo masivo para la integridad de la red corporativa.
Impacto y grupos de amenazas detectados
La compañía ha confirmado que esta vulnerabilidad ha sido explotada de manera limitada pero dirigida contra varias decenas de organizaciones a nivel global. Lo más preocupante para el sector empresarial es que se ha vinculado esta actividad con afiliados del ransomware Qilin, un grupo conocido por sus tácticas de extorsión financiera.
Los atacantes están utilizando infraestructuras de servidores privados virtuales (VPS) geolocalizados para mimetizarse con el tráfico legítimo del país de la víctima y, una vez dentro, intentan desplegar archivos maliciosos en formato ELF para tomar control de los sistemas.
Productos afectados
El problema impacta a las siguientes versiones de Gateways de seguridad de Check Point:
- Security Gateways: Versiones R82.10, R82, R81.20 y versiones anteriores que han llegado al fin de su vida útil (EOS) como R81.10, R81 y R80.40.
- Spark Firewalls: Versiones R80.20.X, R81.10.X y R82.00.X.
Para que la explotación sea exitosa, deben cumplirse ciertas condiciones, como tener habilitado el acceso remoto mediante IKEv1 y no exigir certificados de máquina para las conexiones.
Recomendaciones de Intedya para la continuidad del negocio
Dada la gravedad de la situación y que la agencia CISA ha incluido este fallo en su catálogo de vulnerabilidades explotadas conocidas (KEV), recomendamos a las empresas que utilicen tecnología Check Point tomar las siguientes medidas inmediatas:
- Aplicar Hotfixes: Instalar de forma prioritaria los parches de seguridad publicados por el fabricante.
- Migrar a IKEv2: El protocolo IKEv1 está obsoleto. Es fundamental realizar la transición a IKEv2, que ofrece mejoras sustanciales en seguridad y resistencia ante este tipo de ataques.
- Reforzar la autenticación: Implementar el uso de certificados de máquina y autenticación multifactor (MFA) siempre que sea posible para añadir capas de defensa adicionales.
- Monitoreo de logs: Revisar los registros de acceso VPN en busca de conexiones inusuales o intentos de descarga de archivos sospechosos desde la infraestructura de red.
En un entorno donde el acceso remoto es vital para la operativa diaria, mantener las infraestructuras VPN actualizadas no es solo una tarea técnica, sino una medida crítica de cumplimiento y protección de activos empresariales.
Fuentes
- The Hacker News — Critical Check Point VPN Flaw Exploited to Bypass Passwords in IKEv1 Setups
https://thehackernews.com/2026/06/critical-check-point-vpn-flaw-exploited.html