Una vulnerabilidad crítica en productos de acceso remoto de Check Point está siendo explotada activamente en ataques dirigidos contra organizaciones de distintos países. El fallo, identificado como CVE-2026-50751, afecta a determinados despliegues de Remote Access VPN y Mobile Access configurados con el protocolo IKEv1, una tecnología antigua y desaconsejada desde hace años.
Check Point ha confirmado que la vulnerabilidad fue utilizada como zero-day en ataques contra varias decenas de organizaciones a nivel global. La compañía ha publicado parches y recomienda a sus clientes aplicarlos de forma inmediata, especialmente si utilizan versiones afectadas de Security Gateways o Spark Firewalls.
El problema es especialmente relevante porque permite eludir requisitos de autenticación. Según la descripción técnica, un atacante puede aprovechar un fallo lógico en la validación de certificados para establecer una sesión VPN sin disponer de una contraseña válida. En otras palabras, el fallo puede permitir acceder al entorno VPN saltándose una barrera clave de seguridad.
Un fallo crítico en un punto muy sensible
Las VPN corporativas son uno de los elementos más críticos de cualquier infraestructura empresarial. Permiten que empleados, administradores y terceros autorizados accedan a sistemas internos desde fuera de la red. Precisamente por eso, cuando una vulnerabilidad afecta a este tipo de tecnologías, el riesgo aumenta de forma considerable.
En este caso, la vulnerabilidad se encuentra en despliegues que utilizan IKEv1, siglas de Internet Key Exchange version 1. Se trata de un protocolo de autenticación y negociación de claves creado en 1998 y utilizado durante años para establecer túneles VPN cifrados. Sin embargo, IKEv1 está considerado obsoleto y ha sido sustituido en gran medida por alternativas más modernas, como IKEv2.
El uso de tecnologías heredadas sigue siendo uno de los grandes problemas de ciberseguridad en las empresas. Muchas organizaciones mantienen configuraciones antiguas por compatibilidad, falta de revisión o dependencia de clientes legacy. El inconveniente es que esos componentes pueden convertirse en la puerta de entrada perfecta para atacantes.
Qilin, ransomware y actividad posterior al acceso
Check Point Research ha vinculado al menos un caso de actividad posterior a la explotación con un afiliado del ransomware Qilin. Este dato es importante porque confirma que el fallo no se limita a una prueba técnica, sino que ya ha sido aprovechado en operaciones reales con posible motivación económica.
La explotación inicial de la vulnerabilidad permite establecer una sesión VPN, pero los atacantes necesitan realizar acciones posteriores para acceder a recursos internos o escalar privilegios. Aun así, obtener una sesión válida ya representa una ventaja significativa. Desde ahí, el siguiente paso puede ser reconocimiento interno, búsqueda de credenciales, movimiento lateral o preparación de un ataque de ransomware.
Según la información disponible, el actor sospechoso también estaría explotando otras vulnerabilidades relacionadas con VPN, incluidas fallas publicadas en productos de Palo Alto, Fortinet y F5. Esto encaja con una tendencia clara: los grupos de ransomware y los actores financieros están priorizando dispositivos perimetrales y soluciones de acceso remoto porque ofrecen una vía directa hacia las redes corporativas.
Dos vulnerabilidades, una bajo explotación activa
Check Point divulgó CVE-2026-50751 junto con otra vulnerabilidad, identificada como CVE-2026-50752. Esta segunda falla afecta también a la lógica de validación de certificados en IKEv1 y podría facilitar ataques de tipo man-in-the-middle en conexiones VPN site-to-site. Su puntuación CVSS es de 7,4, por debajo de la criticidad de CVE-2026-50751, que alcanza 9,3.
La diferencia clave es que CVE-2026-50751 ya está siendo explotada activamente. Por eso, las organizaciones deben priorizar su corrección y revisar señales de compromiso desde principios de mayo.
Check Point identificó actividad maliciosa el 4 de junio, pero situó la primera fecha observada de explotación el 7 de mayo. La compañía ha recomendado a los equipos de respuesta a incidentes revisar registros forenses y configuraciones desde esa fecha, ya que la explotación aumentó especialmente a comienzos de junio.
