Cảnh báo: Lỗ hổng nghiêm trọng trên Check Point VPN bị khai thác để bypass xác thực

Hãng bảo mật Check Point mới đây đã xác nhận về việc một lỗ hổng bảo mật nghiêm trọng đang bị khai thác tích cực trên các hệ thống Remote Access VPN và Mobile Access. Lỗ hổng này ảnh hưởng trực tiếp đến các thiết bị được cấu hình sử dụng giao thức trao đổi khóa IKEv1 vốn đã lỗi thời.

Chi tiết về lỗ hổng CVE-2026-50751

Được định danh là CVE-2026-50751 với điểm số CVSS lên tới 9.3, lỗ hổng này xuất phát từ lỗi logic trong quá trình xác thực chứng chỉ. Điều này cho phép một kẻ tấn công từ xa, không cần xác thực, có thể vượt qua bước kiểm tra mật khẩu người dùng và thiết lập kết nối VPN thành công. Sau khi truy cập được vào hệ thống, kẻ tấn công có thể thực hiện các bước tiếp theo để leo thang đặc quyền hoặc truy cập vào tài nguyên nội bộ.

Để khai thác thành công, môi trường mục tiêu cần thỏa mãn các điều kiện sau:

• Đã kích hoạt tính năng VPN Remote Access hoặc Mobile Access.
• Sử dụng giao thức IKEv1 cho truy cập từ xa.
• Gateway chấp nhận các client Remote Access đời cũ.
• Gateway không yêu cầu chứng chỉ máy (machine certificate) để kết nối.

Tình hình khai thác thực tế

Theo ghi nhận của Check Point, các hoạt động đáng ngờ bắt đầu xuất hiện từ ngày 4/6/2026, nhưng các dấu vết khai thác sớm nhất đã được truy vết từ ngày 7/5/2026. Mặc dù số lượng tổ chức bị ảnh hưởng hiện vẫn giới hạn ở mức vài chục đơn vị trên toàn cầu, nhưng một số trường hợp đã ghi nhận sự liên quan của các nhóm ransomware, điển hình là các đối tượng liên kết với nhóm Qilin.

Kẻ tấn công thường sử dụng hạ tầng máy chủ ảo (VPS) đặt tại cùng quốc gia với mục tiêu để thực hiện các cuộc tấn công. Sau khi chiếm quyền truy cập, chúng cố gắng tải xuống các tệp tin độc hại (malware) định dạng ELF để duy trì sự hiện diện trong hệ thống.

Khuyến nghị

Ngoài lỗ hổng trên, các chuyên gia cũng phát hiện thêm một lỗ hổng khác là CVE-2026-50752 (điểm CVSS 7.4), có khả năng cho phép tấn công trung gian (AitM) trên các kết nối VPN site-to-site, mặc dù chưa có bằng chứng về việc nó đã bị khai thác trong thực tế. Người dùng các dòng sản phẩm Security Gateways và Spark Firewalls của Check Point được khuyến cáo kiểm tra phiên bản phần mềm hiện tại và áp dụng các bản vá (patch) hoặc cấu hình thay thế theo hướng dẫn chính thức từ nhà sản xuất để đảm bảo an toàn.

Nguồn tham khảo: The Hacker News