Check Point VPNのゼロデイ脆弱性、ランサムウェア攻撃者による積極的な悪用を確認

Check Pointは、廃止済みのIKEv1鍵交換プロトコルを使用するリモートアクセスVPNおよびモバイルアクセス環境に影響を与える深刻な認証バイパス脆弱性（CVE-2026-50751）が、実際の攻撃で悪用されていることを公表しました。

CVSSスコア9.3が割り当てられたこの脆弱性は、証明書検証のロジックに欠陥があり、未認証の攻撃者が正規の認証情報なしにVPNセッションを確立できてしまうというものです。

初期侵入によってただちにネットワーク全体が制御されるわけではありませんが、攻撃者は認証後の段階へと移行し、横断的な侵害（ラテラルムーブメント）や権限昇格といった活動を展開できる状態になります。

Check Point VPNのゼロデイ脆弱性

Check Point Researchの報告によると、少なくとも2026年5月7日以降に悪用が確認されており、6月初旬には活動が顕著に急増しています。

今回の攻撃キャンペーンは標的を絞った性格が強く、世界中の数十の組織に影響が及んでいます。少なくとも1件の確認されたインシデントでは、侵害後の活動がQilinランサムウェアのアフィリエイトと結びついており、金銭的動機を持つ脅威アクターが初期アクセスの手段としてこの脆弱性を利用していると見られます。

研究者たちは中程度の確信度をもって、攻撃者がランサムウェア主導のキャンペーンに関与しており、Fortinet、Palo Alto Networks、F5といった他ベンダーのVPN製品を標的とした過去の攻撃で使われたインフラや手法を再利用している可能性があると評価しています。

技術的な観点では、CVE-2026-50751はIKEv1ベースのVPN認証フローにおける証明書検証ロジックの不備に起因しています。攻撃者はこの欠陥を悪用してパスワード検証を完全に回避し、リモートVPNセッションを確立することが可能です。

これにより攻撃の敷居は大幅に低下します。特に、後方互換性のためにIKEv1を有効にしたままの環境では影響が深刻です。Check Pointは、本脆弱性はIKEv1を使用する設定にのみ影響すると強調しており、IKEv1はそもそも固有のセキュリティ上の弱点から長らく非推奨とされてきたプロトコルです。

調査の過程でCheck Pointは、IKEv1を使用したサイト間VPN接続の証明書検証に影響する第2の脆弱性CVE-2026-50752（CVSS 7.4）も発見しています。

この脆弱性は特定の条件下でMan-in-the-Middle（MitM）攻撃を可能にするおそれがあります。CVE-2026-50752の実際の悪用は現時点で確認されていませんが、今回の発見はレガシーな暗号プロトコルが抱える組織的なリスクを浮き彫りにしており、積極的なパッチ適用の重要性を改めて示しています。

脅威インテリジェンスによると、攻撃者はKaupo Cloud HK、Shock Hosting、VultrなどのプロバイダーにホストされたVPSインフラを活用しています。

特筆すべき点として、一部の攻撃インフラは標的の所在地と地理的に一致しており、攻撃者が状況を把握した上でジオターゲティングを行っている可能性が示唆されます。また、コマンド＆コントロール通信にはToxプロトコルの使用が確認されており、これはランサムウェアグループが検出回避のために広く使う手法です。

侵害後の活動としては、特に攻撃者が管理するサーバーから取得したLinux ELFバイナリを中心に、Qilinランサムウェアのペイロード展開が試みられています。

各組織はCheck Pointから提供されている最新のセキュリティアップデートを直ちに適用し、可能な限りIKEv1を無効化することが強く推奨されます。インシデント対応チームは、2026年5月初旬まで遡ってVPNログの法的調査を実施し、不審な認証イベントや不正アクセスの痕跡を確認する必要があります。

侵害の痕跡（IOC）