Vulnerabilidade crítica em VPN sob exploração activa
O fornecedor de software de segurança Check Point alerta para ataques activos a uma vulnerabilidade crítica no seu próprio software VPN. A falha classificada como CVE-2026-50751 recebe uma pontuação CVSS de 9.3 e é considerada um risco de segurança crítico. Também o Serviço Federal de Segurança da Tecnologia da Informação (BSI) emitiu o respectivo aviso.
A vulnerabilidade permite a atacantes não autenticados na rede contornar a autenticação e estabelecer ligações VPN sem palavra-passe válida. Estão afectados o Check Point Remote Access VPN, o Mobile Access e a Spark Firewall.
Detalhes técnicos da falha de segurança
O erro reside no protocolo obsoleto IKEv1, na troca de chaves. No Check Point Remote Access e no Mobile Access ocorre um erro de lógica na verificação de certificados, que os actores maliciosos podem explorar. Isso permite aos atacantes obter acesso a ligações VPN sem credenciais válidas.
Além disso, os investigadores de segurança informática identificaram outra vulnerabilidade: a CVE-2026-50752, com uma pontuação CVSS de 7.4 (risco "elevado"). Esta permite a atacantes numa posição de man-in-the-middle interceptar ou manipular o tráfego VPN.
Cronologia dos ataques e observações
A Check Point observou actividades suspeitas a 4 de junho de 2026. A investigação concluiu que a vulnerabilidade já estava a ser atacada desde 7 de maio de 2026. No início de junho, as tentativas de ataque aumentaram claramente.
Grupo de ransomware Qilin como principal suspeito
Com um grau médio de certeza, a Check Point atribui os ataques ao grupo de ransomware Qilin, de motivação financeira. Este usa aparentemente o "protocolo Tox" nos seus ataques e opera a partir de uma infra-estrutura de servidores privados virtuais (VPS).
Particularmente notória é a proximidade geográfica dos ataques: os atacantes escolhem servidores VPS perto dos seus alvos. Assim, atacaram por exemplo alvos em Taiwan a partir de uma infra-estrutura taiwanesa.
Outros alvos de ataque
Após ataques bem-sucedidos, os investigadores de segurança informática encontraram binários do ransomware Qilin e observaram tentativas de descarregamento de ficheiros ELF maliciosos a partir de infra-estrutura controlada pelos atacantes. A Check Point suspeita que o Qilin esteja também por detrás de ataques a soluções VPN da Palo Alto Networks e ao Fortinet FortiClient EMS.
Enquadramento para o sector da segurança
Estes ataques evidenciam novamente a importância crítica da segurança das VPN na infra-estrutura informática moderna. Precisamente em tempos de trabalho remoto reforçado, as soluções VPN tornaram-se um alvo de ataque preferencial. O facto de um grupo de ransomware consolidado visar sistematicamente vários fornecedores de VPN mostra a profissionalização da cibercriminalidade.
Para as empresas do sector da tecnologia de segurança, esta é mais uma prova de que os conceitos de segurança em várias camadas são indispensáveis. Além de soluções técnicas como os sistemas de controlo de acessos e as medidas de segurança física, também as vias de acesso digitais têm de ser devidamente protegidas.
São necessárias contramedidas imediatas
A Check Point recomenda como contramedida principal a instalação imediata das actualizações de software. Além disso, os administradores devem desactivar o suporte para ligações de clientes de acesso remoto obsoletas, conforme descrito nas instruções de actualização.
Verificação de comprometimento
A empresa disponibiliza indicadores de comprometimento (IOC) com os quais os administradores podem analisar os seus sistemas quanto a tentativas de ataque. Estas indicações permitem identificar ataques já ocorridos e iniciar as respectivas medidas de limpeza.
Os responsáveis de TI devem verificar de imediato os seus sistemas quanto a actividades suspeitas, em especial ligações VPN invulgares ou tentativas de início de sessão a partir de regiões geográficas desconhecidas.
Estratégia de segurança de longo prazo
Este incidente sublinha a necessidade de uma estratégia de segurança global. As empresas devem não só actualizar regularmente a sua infra-estrutura VPN, mas também implementar métodos de autenticação alternativos e rever a segmentação das suas redes.
A observação de que os atacantes usam infra-estruturas VPS geograficamente próximas mostra ainda a importância das análises de segurança baseadas em comportamento. A detecção de anomalias pode ajudar a identificar precocemente estes ataques dirigidos.
Para o sector da segurança, este é mais um sinal de alerta de que tanto as medidas de segurança físicas como as digitais têm de ser continuamente desenvolvidas, para acompanhar a evolução do panorama de ameaça.
