Vulnerabilità VPN critica sfruttata attivamente
Il fornitore di software di sicurezza Check Point mette in guardia da attacchi attivi contro una vulnerabilità critica nel proprio software VPN. La falla, classificata come CVE-2026-50751, riceve un punteggio CVSS di 9.3 ed è valutata come rischio di sicurezza critico. Anche il Bundesamt für Sicherheit in der Informationstechnik (BSI) ha diffuso un corrispondente avviso.
La vulnerabilità consente ad aggressori non autenticati presenti nella rete di aggirare l'autenticazione e di stabilire connessioni VPN senza password valida. Sono interessati Check Point Remote Access VPN, Mobile Access e Spark Firewall.
Dettagli tecnici della falla di sicurezza
L'errore risiede nell'obsoleto protocollo IKEv1 durante lo scambio di chiavi. In Check Point Remote Access e Mobile Access si verifica un errore logico nella verifica del certificato, di cui gli attori malevoli possono abusare. Ciò consente agli aggressori di ottenere accesso a connessioni VPN senza credenziali valide.
Inoltre i ricercatori di sicurezza IT hanno identificato un'ulteriore vulnerabilità: CVE-2026-50752 con un punteggio CVSS di 7.4 (rischio «alto»). Questa consente ad aggressori in posizione man-in-the-middle di intercettare o manipolare il traffico VPN.
Cronologia degli attacchi e osservazioni
Il 4 giugno 2026 Check Point ha osservato attività sospette. L'indagine ha rilevato che la vulnerabilità era già oggetto di attacchi dal 7 maggio 2026. All'inizio di giugno i tentativi di attacco sono aumentati sensibilmente.
La banda ransomware Qilin come principale sospettata
Con media affidabilità Check Point attribuisce gli attacchi alla banda ransomware Qilin, motivata da ragioni finanziarie. Questa utilizza a quanto pare il «protocollo Tox» per i propri attacchi e opera a partire da un'infrastruttura di Virtual Private Server (VPS).
Particolarmente evidente è la vicinanza geografica degli attacchi: gli aggressori scelgono server VPS nelle vicinanze dei propri obiettivi. Così hanno attaccato ad esempio obiettivi a Taiwan da un'infrastruttura taiwanese.
Ulteriori bersagli degli attacchi
Dopo attacchi riusciti i ricercatori di sicurezza IT hanno trovato file binari del ransomware Qilin e osservato tentativi di download di file ELF malevoli da infrastrutture controllate dagli aggressori. Check Point ipotizza che Qilin sia anche dietro gli attacchi alle soluzioni VPN di Palo Alto Networks e a Fortinet FortiClient EMS.
Inquadramento per il settore della sicurezza
Questi attacchi evidenziano ancora una volta l'importanza critica della sicurezza VPN nella moderna infrastruttura IT. Proprio in tempi di lavoro da remoto intensificato le soluzioni VPN sono diventate un bersaglio d'attacco privilegiato. Il fatto che una banda ransomware consolidata prenda sistematicamente di mira diversi fornitori VPN mostra la professionalizzazione della criminalità informatica.
Per le aziende del settore della tecnica di sicurezza questa è un'ulteriore prova del fatto che i concetti di sicurezza a più livelli sono indispensabili. Oltre a soluzioni tecniche come i sistemi di controllo accessi e le misure di sicurezza fisica, devono essere adeguatamente protette anche le vie di accesso digitali.
Contromisure immediate necessarie
Check Point raccomanda come contromisura primaria l'installazione immediata degli aggiornamenti software. Inoltre gli amministratori dovrebbero disattivare il supporto per le connessioni client di accesso remoto obsolete, come descritto nella guida all'aggiornamento.
Verifica di eventuali compromissioni
L'azienda mette a disposizione degli Indicators of Compromise (IOC) con i quali gli amministratori possono esaminare i propri sistemi alla ricerca di tentativi di attacco. Queste indicazioni consentono di identificare attacchi già avvenuti e di avviare le corrispondenti misure di bonifica.
I responsabili IT dovrebbero verificare immediatamente i propri sistemi alla ricerca di attività sospette, in particolare connessioni VPN insolite o tentativi di accesso da regioni geografiche sconosciute.
Strategia di sicurezza a lungo termine
Questo episodio sottolinea la necessità di una strategia di sicurezza olistica. Le aziende non dovrebbero soltanto aggiornare regolarmente la propria infrastruttura VPN, ma anche implementare metodi di autenticazione alternativi e verificare la propria segmentazione di rete.
L'osservazione che gli aggressori utilizzano infrastrutture VPS geograficamente vicine mostra inoltre l'importanza delle analisi di sicurezza basate sul comportamento. Il rilevamento delle anomalie può aiutare a identificare per tempo attacchi mirati di questo tipo.
Per il settore della sicurezza questo è un ulteriore campanello d'allarme sul fatto che sia le misure di sicurezza fisiche sia quelle digitali devono essere continuamente sviluppate, per stare al passo con l'evoluzione del panorama delle minacce.
