WatchTowrの研究者が、CVE-2026-50751に関する技術的分析と「検出アーティファクト生成ツール」を公開しました。この脆弱性はCheck PointのRemote Access VPNおよびMobile Accessに存在する認証バイパスの欠陥であり、ベンダーも実際の悪用を確認しています。
現時点での攻撃は限定的なものにとどまっていますが、この情報が公開された以上、より大規模な日和見的攻撃が増加する可能性があります。
秘密裏な悪用から公開開示へ
CVE-2026-50751は2026年6月8日にCheck Pointがパッチを適用済みであり、同社によると実環境での悪用は5月初旬にまで遡るとされています。
パッチ公開前に標的となった組織は数十社に上り、そのうち少なくとも1件はQilinランサムウェアの関連グループによるものと確認されています。
WatchTowr Labsの研究者McCaulay Hudsonは本日、この脆弱性の技術的な詳細分析を公開しました。脆弱なコードが、IKEv1ネゴシエーション中にカスタムVendor IDペイロードを介して接続クライアントによる認証フラグの操作を許してしまうこと、そしてそれが完全な認証バイパスにまでエスカレートできることを説明しています。
さらに、ランダムな署名でフェーズ1のネゴシエーションを完了させるPoC用IKEv1クライアントも構築・公開しており、これにより有効な証明書・秘密鍵・パスワードなしに、未認証のリモート攻撃者がプロビジョニング済みのRemote Accessユーザーとしてログインできることが実証されました。
PoCのREADMEファイルでは、Remote Access VPNおよびMobile AccessブレードをもつCheck Point Security Gatewayが、レガシーIKEv1パスを使用するよう設定されており、かつレガシーRemote Accessクライアントからの接続を許可している場合に脆弱になると説明されています。
ベンダーが以前から指摘しているとおり、攻撃が成立するための3つ目の前提条件として、ゲートウェイが接続確立時にマシン証明書を要求しない設定になっていることが挙げられます。
研究者によると、この証明書認証バイパスはCertificate、Certificate with enrollment、Mixed user-authenticationの各認証方式に対して有効ですが、通常のLegacy方式（ユーザー名/パスワード）は影響を受けません。
HudsonはさらにUDPアクセスがブロック・フィルタリングされている場合でも、TCP 443経由でこの認証バイパスが機能することを確認しています。
パッチ適用・緩和策・修復対応
Check Pointは初期攻撃に関連する侵害の痕跡（IoC）を公開しており、防御担当者はゲートウェイが攻撃対象になっていなかったかどうかを確認できます。
同社は顧客に対し、CVE-2026-50751および追加の証明書検証の欠陥（CVE-2026-50752）を修正するホットフィックスを適用するよう呼びかけています。
CVE-2026-50751の影響を受けるCheck Point Security GatewayおよびSpark Firewallを利用している組織で、まだホットフィックスを適用していない場合は、直ちに対応する必要があります。
即時または完全なパッチ適用が困難な場合（サポート対象外バージョンを使用している場合など）、管理者はレガシーIKEv1/Remote Accessクライアントサポートの無効化と、マシン証明書認証の必須化を検討してください。
翻訳元: https://www.helpnetsecurity.com/2026/06/12/cve-2026-50751-poc-exploit/
