Bramy Check Point z włączonym IKEv1 wpuszczały do firmowego VPN bez hasła. Ataki trwały od 7 maja 2026, jeden przypadek łączy się z ransomware Qilin. Sprawdzamy, kogo dotyczy luka, które poprawki ją zamykają i co zrobić po fakcie.
Check Point Security Gateway to brama, która oddziela sieć firmy od internetu i jednocześnie wpuszcza do środka pracowników łączących się z domu. Luka CVE-2026-50751 pozwalała przejść przez tę bramę bez hasła, jeśli na urządzeniu nadal działał przestarzały protokół IKEv1 i kilka ustawień zgodności ze starymi klientami VPN.
To nie jest teoretyczny problem. Check Point potwierdził ataki od 7 maja 2026, czyli na miesiąc przed publikacją poprawki, a w jednym przypadku po włamaniu pojawił się afiliant grupy ransomware Qilin. CISA dała agencjom federalnym tylko 3 dni na reakcję.
W skrócie: jeśli Twoja firma ma bramę Check Point z włączonym VPN dla pracowników, sprawdź dziś poziom poprawek, konfigurację IKEv1 i logi od 7 maja 2026. Sama aktualizacja nie usuwa napastnika, który wszedł wcześniej.
8 czerwca 2026 Check Point opublikował poprawki dla bram Quantum Security Gateway i urządzeń Spark. Tego samego dnia CISA dopisała lukę do katalogu Known Exploited Vulnerabilities (KEV), czyli listy podatności, dla których są dowody realnych ataków.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-50751 |
Nazwa w katalogu CISA | Check Point Security Gateway Improper Authentication Vulnerability |
Data dodania do CISA KEV | 8 czerwca 2026 |
Termin usunięcia wg CISA (dueDate) | 11 czerwca 2026 (3 dni) |
Użycie w kampaniach ransomware (KEV) | Known, czyli potwierdzone |
Produkt | Check Point Quantum Security Gateway (funkcje Remote Access VPN i Mobile Access) oraz Check Point Spark Firewalls |
Wersje zagrożone (Security Gateway) | R82.10 z Jumbo Hotfix Take 19 lub niższym, R82 z Take 103 lub niższym, R81.20 z Take 141 lub niższym, R81.10, R81 i R80.40 (trzy ostatnie bez wsparcia, EOS) |
Wersje zagrożone (Spark) | R80.20.X (EOS), R81.10.X, R82.00.X |
Wersje bezpieczne (Security Gateway) | Jumbo Hotfix Accumulator: R82.10 Take 24, R82 Take 107, R81.20 Take 146, R81.10 Take 187 |
Wersje bezpieczne (Spark) | R82.00.10 Build 998002216, R81.10.17 Build 996004901 |
Typ podatności | CWE-287, niewłaściwe uwierzytelnianie (błąd logiki przy walidacji certyfikatu w IKEv1) |
Ocena CVSS | 9,3 KRYTYCZNA, wektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N (ocena CISA ADP w NVD) |
Advisory producenta | https://support.checkpoint.com/results/sk/sk185033 |
Podatność nie dotyczy każdej bramy z tym numerem wersji. Według artykułu sk185033 muszą być spełnione wszystkie cztery warunki jednocześnie:
# | Warunek ekspozycji | Co to znaczy dla firmy |
|---|---|---|
1 | Włączony VPN Remote Access lub Mobile Access | Pracownicy łączą się z siecią firmy z zewnątrz |
2 | IKEv1 włączony dla dostępu zdalnego | Działa stara wersja protokołu zestawiania tunelu |
3 | Brama akceptuje starsze klienty Remote Access | Zaznaczona opcja zgodności ze starymi klientami VPN |
4 | Brama nie wymaga certyfikatu maszyny | Nie sprawdza, czy łączy się firmowy komputer |
W tym samym komunikacie producent opisał drugą lukę, CVE-2026-50752 (CVSS 7,4): możliwość ataku typu man-in-the-middle na tunele site-to-site w IKEv1. Check Point nie odnotował jej wykorzystania i nie ma jej w katalogu KEV, dlatego ten wpis skupia się na CVE-2026-50751.
Wyobraź sobie biurowiec z recepcją. Pracownik pokazuje przepustkę, a ochroniarz sprawdza hologram i dopiero wtedy wpuszcza. Stare przepustki, wydane lata temu, mają jednak osobny tryb obsługi. W tym trybie gość sam wpisuje na przepustce, jak dokładnie ma być sprawdzony. Napastnik drukuje przepustkę z dopiskiem „hologramu nie sprawdzać”, a ochroniarz posłusznie macha ręką.
Tak właśnie opisali błąd badacze watchTowr: klient VPN wysyła bramie informację o tym, jak dokładnie ma go weryfikować, a brama się na to zgadza i pomija sprawdzenie podpisu certyfikatu. Bez hasła, bez prawdziwego certyfikatu, bez udziału żadnego pracownika.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Kto może zestawić VPN | Pracownik z hasłem i ważnym certyfikatem | Każdy, kto dotrze do bramy przez internet |
Sprawdzenie certyfikatu | Brama weryfikuje podpis kryptograficzny | Brama pomija weryfikację na życzenie klienta |
Rola hasła | Wymagane przy każdym logowaniu | Niepotrzebne |
Gdzie ląduje napastnik | Poza siecią firmy | W sieci wewnętrznej, z adresem jak pracownik na VPN |
Kto kontroluje dane | Firma | Potencjalnie grupa ransomware |
Słowniczek: IKEv1 to pierwsza wersja protokołu, którym komputer i brama uzgadniają klucze szyfrujące tunel VPN. Zastąpiła go nowsza wersja IKEv2, ale IKEv1 często zostaje włączony dla zgodności ze starszym sprzętem i klientami.
Słowniczek: Jumbo Hotfix Take to numer zbiorczej paczki poprawek Check Point. Dwie bramy z wersją R81.20 mogą mieć zupełnie inny poziom zabezpieczeń, jeśli różni je numer Take.
Mogę Ci jakoś pomóc?
Słowniczek: EOS (End of Support) oznacza wersję, dla której producent zakończył standardowe wsparcie.
To zdalny atak bez uwierzytelnienia i bez udziału użytkownika. SSVC CISA oznacza go jako możliwy do zautomatyzowania, a EPSS z 13 września 2026 wynosi 0,83771 (percentyl 0,99672), co plasuje lukę w najwyższym promilu prawdopodobieństwa prób ataku.
Timeline ataku:
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1 | T+0 min | Skanowanie internetu w poszukiwaniu bram Check Point z otwartym VPN i IKEv1 | Lista potencjalnych celów |
2 | T+2 min | Połączenie jako starszy klient VPN z fałszywym certyfikatem i flagą pomijającą weryfikację podpisu | Brama akceptuje logowanie bez hasła |
3 | T+5 min | Zestawienie tunelu VPN i otrzymanie wewnętrznego adresu IP | Napastnik jest w sieci firmy |
4 | T+1 do 24 h | Rozpoznanie sieci: serwery plików, kontroler domeny, kopie zapasowe | Mapa zasobów i celów |
5 | Dni | Kradzież danych logowania i ruch boczny po sieci | Uprawnienia administratora |
6 | Dni do tygodni | Wyprowadzenie danych i uruchomienie ransomware (w jednym potwierdzonym przypadku afiliant Qilin) | Szyfrowanie, szantaż, przestój |
Czasy w etapach 4-6 są poglądowe. Check Point nie podał publicznie szczegółowej osi czasu działań po włamaniu.
Konkretne scenariusze zagrożenia:
Brama VPN to drzwi frontowe całej sieci. Luka sama w sobie nie niszczy danych (w CVSS wpływ na dostępność: brak), ale daje wejście, a dalsze szkody zależą od tego, co napastnik zrobi w środku. Stąd człon S:C w wektorze CVSS: skutki wychodzą poza samą bramę.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przestój systemów po zaszyfrowaniu serwerów | Dni od włamania | 20 000-150 000 PLN za dzień przestoju |
Bezpieczeństwo danych | Wyciek danych klientów i pracowników | Godziny do dni | 100 000-1 000 000 PLN (analiza, powiadomienia, obsługa prawna) |
Finansowy | Koszty odtworzenia, audytu śledczego, ewentualne żądanie okupu | Dni do tygodni | 150 000-2 000 000 PLN |
Reputacyjny | Utrata zaufania klientów i partnerów | Tygodnie do miesięcy | Utrata 5-20% kontraktów |
Prawny | Kary RODO, obowiązki zgłoszeniowe, spory z kontrahentami | Miesiące | Do 20 mln EUR lub 4% rocznego obrotu (RODO) |
Kwoty w tabeli to szacunki poglądowe dla małej i średniej firmy, a nie dane z opisanych incydentów. Pułap kar RODO wynika z art. 83 rozporządzenia.
Macierz ryzyka (pozycja CVE-2026-50751 na bramie spełniającej cztery warunki ekspozycji):
Wpływ
5 | ■ ← CVE-2026-50751 (ataki od 05.2026, ransomware)
4 | ■ ■
3 | ■ ■ ■
2 | ■ ■ ■ ■
1 | ■ ■ ■ ■ ■
+---------------------
1 2 3 4 5 Prawdopodobieństwo Dla bramy z wyłączonym IKEv1 lub z wymaganym certyfikatem maszyny ryzyko tej konkretnej luki spada praktycznie do zera, bo nie są spełnione warunki ekspozycji.
Mogę Ci jakoś pomóc?
Stan bramy | Ryzyko przed działaniem | Ryzyko po działaniu |
|---|---|---|
R81.20 Take 141, IKEv1 włączony, stare klienty dozwolone | 🔴 Krytyczne | 🟢 Niskie po Take 146 i przeglądzie logów |
R82 Take 103, wymagany certyfikat maszyny | 🟡 Umiarkowane (warunek 4 niespełniony) | 🟢 Niskie po Take 107 |
R80.40 (EOS), IKEv1 włączony | 🔴 Krytyczne, brak poprawki | 🟠 Średnie po wyłączeniu IKEv1, 🟢 niskie po migracji |
Spark R80.20.X (EOS) | 🔴 Krytyczne, brak poprawki | 🟠 Średnie po przełączeniu na IKEv2 |
Termin CISA minął 11 czerwca 2026. Jeśli Twoja brama wciąż nie ma poprawki, jesteś ponad 3 miesiące za harmonogramem, który agencja uznała za bezpieczny.
Priorytet | Działanie | Termin | Odpowiedzialny | Status |
|---|---|---|---|---|
🔴 NATYCHMIAST | Odczytać wersję i numer Jumbo Hotfix Take na każdej bramie oraz model i firmware urządzeń Spark | Dzisiaj | Administrator sieci | ☐ |
🔴 NATYCHMIAST | Zainstalować Jumbo Hotfix: R82.10 Take 24, R82 Take 107, R81.20 Take 146, R81.10 Take 187 | Dzisiaj | Administrator sieci | ☐ |
🔴 NATYCHMIAST | Spark: wgrać R82.00.10 Build 998002216 lub R81.10.17 Build 996004901 (przy zarządzaniu centralnym najpierw zaktualizować Security Management) | Dzisiaj | Administrator sieci | ☐ |
🔴 NATYCHMIAST | Tam, gdzie nie da się łatać od razu: wdrożyć jedno z obejść z sk185033 | Dzisiaj | IT Security | ☐ |
🟠 PILNIE | Przeszukać logi VPN od 7 maja 2026 pod kątem wskaźników IoC z sk185033 (zdarzenia Key Install i Quick Mode z listy 17 adresów IP) | 24-48 h | SOC lub zewnętrzny zespół IR | ☐ |
🟠 PILNIE | Przejrzeć sesje VPN z nietypowych krajów, godzin i nazw użytkowników | 24-48 h | SOC | ☐ |
🟠 PILNIE | Przy śladach włamania: reset haseł uprzywilejowanych, przegląd kont i zadań zaplanowanych, weryfikacja kopii zapasowych | 48-72 h | Incident Response | ☐ |
🟡 WAŻNIE | Plan migracji z R80.40, R81 i Spark R80.20.X na wspierane wersje | Do 30 dni | CTO | ☐ |
🟡 WAŻNIE | Docelowo wyłączyć IKEv1 w całej organizacji | Do 30 dni | Architekt sieci | ☐ |
Jeśli aktualizacja nie jest dostępna (wersje EOS bez poprawki albo okno serwisowe niemożliwe dziś):
Czasowa miara ochronna (sk185033) | Gdzie ustawić | Efektywność | Łatwość wdrożenia |
|---|---|---|---|
Wyłączenie opcji Allow older clients to connect to this gateway | SmartConsole, właściwości bramy, VPN Clients, Authentication | Wysoka, usuwa warunek 3 | Wysoka, ryzyko odcięcia starych klientów |
Wymuszenie IKEv2 only | SmartConsole, Global properties, Remote Access, VPN Authentication; Spark: WebUI, Device, Advanced Setting | Wysoka, usuwa warunek 2 | Średnia, trzeba sprawdzić klientów i oddziały |
Wymaganie certyfikatu maszyny (Mandatory) | SmartConsole, VPN Clients, Authentication, Machine Certificate Authentication | Wysoka, usuwa warunek 4 | Niska do średniej, wymaga PKI na laptopach |
Ograniczenie dostępu do VPN z zaufanych adresów lub krajów | Polityka bramy | Średnia, pracownicy mobilni mają zmienne IP | Średnia |
Czasowe wyłączenie Remote Access VPN | Konfiguracja bramy | Pełna, usuwa warunek 1 | Wysoka, ale zatrzymuje pracę zdalną |
Ocena efektywności i łatwości to szacunek poglądowy redakcji. Producent wskazuje trzy pierwsze opcje jako alternatywę dla poprawki, bez oceny procentowej.
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK, według Check Point od 7 maja 2026, czyli jako zero-day przed poprawką |
Skala | Według Check Point kilkadziesiąt celowo wybranych organizacji na świecie |
Grupy przestępcze | Jeden potwierdzony przypadek działań po włamaniu powiązanych z afiliantem ransomware Qilin; motywację finansową Check Point ocenia ze średnią pewnością |
Kampanie ransomware | CISA KEV: Known; nazwa kampanii nie została publicznie podana |
Ocena CVSS | 9,3/10 (KRYTYCZNA) |
EPSS | 0,83771, percentyl 0,99672 (13 września 2026) |
PoC dostępny publicznie? | TAK, watchTowr opublikował analizę i narzędzie Detection Artefact Generator potwierdzające obejście (repozytorium z 10 czerwca 2026) |
Ofiary w Polsce | Brak publicznie potwierdzonych danych |
Liczba bram narażonych w internecie | Brak publicznie potwierdzonych danych |
Publiczne narzędzie badaczy zmienia rachunek ryzyka. Do czerwca atakował wąski krąg sprawców, od czerwca mechanizm jest opisany krok po kroku i każdy może sprawdzić, czy konkretna brama jest podatna.
Qilin to grupa ransomware działająca w modelu usługowym (RaaS) od 2022 roku. Afilianci, czyli wykonawcy ataków, kupują lub zdobywają dostęp do sieci ofiar, a luki w VPN są jednym z najczęstszych sposobów wejścia.
Linia czasu incydentu:
2026-05-07: pierwsze zaobserwowane ataki (luka jeszcze nieznana publicznie)
2026-06-04: Check Point Research wszczyna dochodzenie po sygnałach podejrzanej aktywności
2026-06-08: advisory Check Point i poprawki, publikacja CVE w NVD, wpis do CISA KEV
2026-06-10: publiczne repozytorium watchTowr z narzędziem potwierdzającym obejście
2026-06-11: termin CISA na usunięcie luki; ostatnia partia IoC w sk185033
2026-06-12: analiza techniczna watchTowr
2026-07-07: ostatnia aktualizacja artykułu sk185033
2026-08-04: ostatnia modyfikacja rekordu w NVD
2026-09-14: TUTAJ JESTEŚMY - 130 dni od pierwszych ataków, weryfikacja natychmiast! Przed i po: jak zmienił się obraz sytuacji
Kwestia | Czerwiec 2026 | Wrzesień 2026 |
|---|---|---|
Wiedza o mechanizmie | Ogólny opis producenta | Szczegółowa analiza i publiczne narzędzie |
Kto może atakować | Wąska grupa sprawców | Każdy z dostępem do narzędzia |
Priorytet dla firmy | Pilna aktualizacja | Aktualizacja plus sprawdzenie, czy ktoś już wszedł |
Mogę Ci jakoś pomóc?
Poprawki i obejścia: https://support.checkpoint.com/results/sk/sk185033 (wymaga konta w portalu wsparcia Check Point). Komunikat producenta: https://blog.checkpoint.com/security/check-point-releases-important-hotfix-for-vulnerabilities-in-deprecated-ikev1-vpn-protocol/
✓ | Zadanie | Kto | Deadline |
|---|---|---|---|
☐ | Pobrać Jumbo Hotfix lub firmware Spark z sk185033 | IT Manager | DZISIAJ |
☐ | Wykonać snapshot konfiguracji bramy i sprawdzić procedurę wycofania | Administrator sieci | DZISIAJ |
☐ | Zakomunikować pracownikom okno serwisowe VPN | Project Manager | DZISIAJ |
☐ | Wdrożyć poprawkę na bramach produkcyjnych, zaczynając od tych wystawionych do internetu | DevOps lub administrator sieci | DO JUTRA |
☐ | Sprawdzić logi od 7 maja 2026 pod kątem IoC i nietypowych sesji VPN | SOC | DO JUTRA |
☐ | Potwierdzić numer Take po wdrożeniu i wyłączenie IKEv1 tam, gdzie nie jest potrzebny | IT Manager | DO JUTRA |
☐ | Zdecydować o audycie śledczym, jeśli brama była podatna między 7 maja a dniem wdrożenia poprawki | CFO i CTO | W CIĄGU TYGODNIA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy bramy Check Point Quantum lub urządzenia Spark z włączonym Remote Access VPN albo Mobile Access? | TAK / NIE | 🔴 |
2 | Jaka jest wersja i numer Jumbo Hotfix Take na każdej bramie (R82.10 min. Take 24, R82 min. Take 107, R81.20 min. Take 146, R81.10 min. Take 187)? | Wersja i Take | 🔴 |
3 | Czy IKEv1 jest włączony dla dostępu zdalnego i kto go faktycznie potrzebuje? | TAK / NIE | 🔴 |
4 | Czy brama akceptuje starsze klienty VPN i czy wymaga certyfikatu maszyny? | TAK / NIE | 🔴 |
5 | Czy przejrzeliśmy logi VPN od 7 maja 2026 pod kątem wskaźników z sk185033? | TAK / NIE | 🔴 |
6 | Czy mamy urządzenia na wersjach bez wsparcia (R80.40, R81, Spark R80.20.X)? | Lista | 🟠 |
7 | Czy mamy aktywne wsparcie i dostęp do portalu Check Point? | TAK / NIE | 🟠 |
8 | Ile czasu zajęłoby odtworzenie serwerów z kopii odciętych od sieci? | Godziny | 🟡 |
9 | Czy mamy plan reagowania na incydent i kontakt do zespołu IR? | TAK / NIE | 🟡 |
Pytania diagnostyczne dla managera:
Wniosek dla zarządu: przestarzały protokół zostawiony dla wygody otworzył drzwi, których nikt nie pilnował. Poprawka zamyka je na przyszłość, ale przy luce wykorzystywanej od maja trzeba też sprawdzić, czy ktoś nie przeszedł nimi wcześniej.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.