Faille zero-day de contournement d'authentification dans le VPN Check Point exploitée (CVE-2026-50751)

Le 8 juin 2026, Check Point Software Technologies — l'éditeur israélien de solutions de sécurité réseau — a révélé que des attaquants exploitaient activement une faille zero-day critique de contournement d'authentification, référencée CVE-2026-50751, dans ses produits VPN Remote Access et Mobile Access. La faille permet à un attaquant d'établir une session VPN sans mot de passe valide, et Check Point a relié au moins une intrusion confirmée à un affilié du rançongiciel Qilin.

Ce qui s'est passé

CVE-2026-50751 est une faille d'authentification incorrecte (CWE-287) affichant un score CVSS de 9,3. Elle touche les déploiements Remote Access VPN et Mobile Access configurés pour utiliser le protocole d'échange de clés IKEv1, désormais obsolète. En exploitant un défaut de logique dans la validation des certificats, un attaquant peut contourner l'exigence de mot de passe et s'authentifier auprès de la passerelle VPN comme un utilisateur d'accès distant légitime.

Selon Check Point, la première exploitation observée remonte au 7 mai 2026, l'entreprise ayant repéré une activité suspecte le 4 juin 2026. L'exploitation s'est jusqu'ici limitée à quelques dizaines d'organisations ciblées dans le monde, mais dans au moins un cas, l'accès a été suivi d'une activité post-compromission associée à un affilié du rançongiciel Qilin — transformant un point d'entrée VPN en première étape d'une intrusion par rançongiciel.

Au cours de son enquête, Check Point a identifié un second problème connexe — CVE-2026-50752 — également lié à la validation des certificats dans l'échange IKEv1 obsolète, qui pourrait, dans certaines conditions, permettre une interférence de type « homme du milieu » sur le trafic VPN de site à site.

Impact

• Un contournement d'authentification critique (CVSS 9,3) permettant des connexions VPN sans mot de passe sur les passerelles configurées en IKEv1.
• Une exploitation active dans la nature observée contre plusieurs dizaines d'organisations à l'échelle mondiale.
• Au moins une intrusion liée à un affilié du rançongiciel Qilin, laissant craindre un chiffrement et une extorsion ultérieurs.
• Check Point a publié des correctifs d'urgence et conseillé aux clients ne pouvant pas appliquer le patch immédiatement de désactiver le client d'accès distant hérité, de restreindre l'authentification à IKEv2 uniquement et de rendre obligatoire l'authentification par certificat machine.

Pourquoi c'est important

Les équipements de périphérie — passerelles VPN et pare-feu en particulier — restent le vecteur d'accès initial favori des groupes de rançongiciels, car un simple contournement d'authentification offre à l'attaquant une position de confiance à l'intérieur du périmètre réseau. L'angle IKEv1 rappelle que les protocoles obsolètes laissés actifs pour des raisons de compatibilité constituent une source de risque récurrente : la configuration sécurisée existait, mais les paramétrages hérités ont maintenu la voie vulnérable assez longtemps pour que les attaquants la trouvent.