远程访问使外部世界成为公司的一部分。
这个界限是有分量的。员工通过它进行联系。承包商通过它进行连接。管理员在发生事件时使用它。第三方有时会保留访问权限多年。 VPN 网关可以成为文件服务器、身份系统、内部应用程序、数据库、开发人员工具和管理网络的前门。
2026 年 6 月，Hacker News 报道称，Check Point VPN 的一个关键漏洞在野外被利用，并与 Qilin 勒索软件活动有关。 Check Point 自己的通报称，CVE-2026-50751 会影响配置为使用已弃用的 IKEv1 密钥交换协议的远程访问 VPN 和移动访问部署。 Check Point 表示，攻击者可以利用证书验证中的逻辑缺陷在没有有效密码的情况下建立 VPN 会话。
这是严重的边界破坏。
本文使用公开报告和供应商指南。它不包含任何受影响组织的私人知识。
公开报道的内容
Check Point 于 2026 年 6 月 8 日发布了一份公告，描述了 CVE-2026-50751 的活跃利用情况。该公司表示，该漏洞影响配置为使用已弃用的 IKEv1 的远程访问 VPN 和移动访问部署。该问题是证书验证逻辑中的用户身份验证绕过。成功利用该漏洞可以在没有有效用户密码的情况下允许远程访问 VPN 连接。
Check Point 表示，需要进行额外的身份验证后活动才能访问内部资源或升级权限。这个细节很重要。该缺陷并不直接表明每个内部系统都会立即受到损害。该风险仍然很严重，因为未经授权的 VPN 访问使攻击者在远程访问边界内占有一席之地。
Check Point 表示，观察到的攻击仅限于全球几十个目标组织。它还表示，其中一个案例涉及与 Qilin 勒索软件关联公司相关的已确认的泄露后活动。
Rapid7 将问题总结为 CVSS 9.3 身份验证绕过，影响某些 IKEv1 配置中的 Check Point 远程访问 VPN、移动访问和 Spark 防火墙产品。 Rapid7 还表示，观察到的活动可以追溯到 2026 年 5 月 7 日，6 月初活动有所增加。
NVD 将 CVE-2026-50751 列为 Check Point 安全网关不正确身份验证，并将其链接到 CISA 已知被利用的漏洞信息，并要求联邦机构采取行动。
核心信息很简单。远程访问网关需要的不仅仅是修补。他们需要配置证明、日志审查、会话审查和修复后验证。
攻击者如何利用 VPN 绕过
VPN 登录具有特殊含义。许多环境将 VPN 会话视为用户属于内部的强烈信号。一旦存在会话，攻击者就可以探测内部范围、访问内部应用程序、测试文件共享、攻击身份服务、查询管理控制台以及查找弱凭据。
CVE-2026-50751 的公开报告重点关注 IKEv1 远程访问路径和证书验证。确切的配置决定了曝光度。高风险条件可能包括启用远程访问 VPN 或移动访问、已弃用的 IKEv1 支持、接受旧版客户端、较弱的计算机证书要求以及互联网可达性。
攻击者不需要从勒索软件开始。该路径可以是渐进的：
- 通过旁路条件建立 VPN 会话。
- 枚举内部主机和可访问的服务。
- 识别身份系统、文件服务器、管理工具、远程桌面路径和备份系统。
- 从公开的服务、内存、共享、脚本或内部工具收集凭据。
- 通过正常的企业弱点提升权限。
- 泄露数据。
- 如果犯罪集团选择这种结果，则部署勒索软件。
这个顺序就是为什么一个网关漏洞可能成为全公司范围的事件。
损坏情况如何
公开报道没有公布普遍的受害者人数和美元损失。 Check Point 描述了数十个目标组织和至少一个与 Qilin 相关的入侵后案例。这足以显示风险等级。
第一类损坏是未经授权的内部访问。即使没有立即勒索软件，VPN 绕过也可能为攻击者提供发现和窃取凭据的机会。
第二类是数据盗窃。如果分段较弱，则可以访问内部文件共享、文档系统、CRM 导出、HR 系统、票务平台、源代码、备份和财务文档。
第三类是勒索软件。远程访问旁路可以为附属机构提供准备加密或数据盗窃勒索所需的初始位置。公开报告已将 Qilin 与勒索软件操作联系起来，因此团队应将任何已确认的暴露视为事件响应优先事项。
第四类是运营不确定性。当 VPN 网关可能允许未经授权的会话时，组织需要回答连接者、从何处、何时、访问了哪些内部系统以及稍后是否使用了任何凭据。
第五类是团队压力。认真的客户会询问远程访问是否已修补，旧协议是否被禁用，日志是否返回到利用窗口，分段是否限制了范围，以及第三方是否验证了关闭。
最后一类是保险和监管摩擦。远程访问是首选的初始访问路径。保险公司、审计师和合作伙伴期望有证据表明边界已被强化并受到监督。
为什么 VPN 风险依然存在
VPN 系统往往会收集异常情况。一位高管的遗留客户。一个硬件旧的网站。承包商工作流程。合并。临时设置变成了永久设置。一个小型办公设备，安装后没有人会再次访问。攻击者寻找这些异常。遗留协议之所以能够生存下来，是因为它们能够推动业务的发展。然后，一个建议将兼容性设置转换为内部路径。
远程访问也会受到错误的信任。公司可能认为 MFA、证书和防火墙规则覆盖了边界。真实状态可能有所不同。某些用户可能会被豁免。某些客户端可能使用旧协议。某些设备可能运行较旧的分支。有些日志可能会在几天内被覆盖。某些内部网络在连接后可能允许广泛的覆盖范围。
假设状态和已验证状态之间的差异是事件发生的地方。
团队现在应该检查哪些内容
从产品和版本清单开始。识别每个 Check Point 网关、Spark 设备、远程访问 VPN 刀片、移动访问部署、管理服务器、集群和灾难恢复设备。包括分支机构和 MSP 管理的站点。
确认 IKEv1 状态。检查远程访问是否启用IKEv1。检查是否接受旧版远程访问客户端。检查机器证书策略。检查针对旧用户或旧设备设置的任何本地例外情况。
应用供应商修补程序和升级。使用 Check Point 指南作为受影响版本和缓解措施的主要来源。修复后记录准确的内部版本号。
查看 2026 年 5 月 7 日起的可用日志。 Check Point 建议响应人员从最早观察到的利用日期开始优先考虑取证日志审核和配置审查。如果您的保留时间较短，请记录差距并加强对受影响的用户、网关和内部系统的监控。
寻找可疑会话。查找异常源国家/地区、ASN 更改、非工作时间会话、未知客户端、失败的证书模式、短时间重复会话、快速触及许多内部系统的会话以及特权或文件共享活动后的连接。
审查内部影响力。 VPN 会话不应创建对所有内容的平坦访问。分段管理网络、备份系统、身份系统、文件共享、源代码和生产控制平面。
当可能暴露时轮换凭证。如果可能发生未经授权的会话，请检查并轮换高风险帐户、管理凭据、VPN 相关服务凭据以及从 VPN 路径到达的内部系统所接触的凭据。
证明闭包。修复需要证据：受影响的清单、配置状态、修补程序状态、日志审查、搜索结果、分段审查和复测。
SToFU Systems
强大的远程访问设计是什么样的
强大的远程访问设计是有层次的。
第一层是协议规则。除非存在记录的异常，否则应删除已弃用的协议。异常应该有所有者、到期日期、业务原因和补偿控制。
第二层是身份强度。 MFA、设备状态、证书策略、条件访问和帐户风险规则应协同工作。任何围绕主要身份策略的旁路路径都需要审查。
第三层是会话可见性。安全团队需要显示用户、源、设备、协议、网关、会话持续时间、内部目标和异常连接行为的日志。保留时间应足够长，以涵盖咨询到发现的窗口。
第四层是内部分割。 VPN 用户应访问该角色所需的系统。文件共享、身份系统、备份、管理网络、生产控制平面和源代码应该有更严格的规则。
第五层是事件准备。团队应该知道如何禁用网关、强制注销、吊销证书、轮换凭据以及切换到干净的访问路径而不造成混乱。
第六层是外部验证。远程访问配置在文档中看起来可能是正确的，但仍然暴露出危险的设置。测试证明了状态。
针对 MSP 和基础设施供应商的问题
许多公司将防火墙和 VPN 管理外包。这可以很好地发挥作用，但公司仍然承担风险。
向您的 MSP 或基础设施供应商询问完整的网关库存。询问哪些设备支持远程访问。询问哪些允许 IKEv1 或其他旧协议。询问应用了哪些修补程序。询问保留哪些日志以及保留在何处。询问在事件期间导出可疑会话的速度有多快。
询问谁批准例外情况。为一个老客户端启用的遗留协议可能会成为影响整个公司的路径。应书面记录异常控制、注明日期并进行审查。
要求经过测试的隔离路径。在利用过程中，企业可能需要禁用网关、阻止协议、撤销会话或限制内部访问。在事故发生期间等待设计该路径会浪费时间。
询问可以向客户出示什么证明。如果您的销售团队与企业利益相关者打交道，远程访问将出现在调查问卷中。答案应该比“由我们的供应商管理”更强。它应包括清单、配置状态、补丁证据和复测。
认证应涵盖哪些内容
对于 VPN 和周边轮廓，SToFU Systems 安全认证可以涵盖网关群、公开暴露、协议状态、MFA 和证书策略、补丁状态、日志记录、可疑会话审查、内部分段和补救证据。
证书应注明所审查的资产。它应该命名检查的时间窗口。它应该显示已弃用的协议是否已被删除或受到严格限制。它应该显示复测的结果。
当周长保持稳定时，有效期最长可达 12 个月。新的网关、合并、重大远程工作政策变更、新的 MSP、协议例外或被利用的建议应尽早触发审查。这就是远程访问认证如何帮助销售和领导力。它将团队害怕的边界变成了公司可以解释的边界。
勒索软件准备层
由于公开报告将一个观察到的泄露后案例与 Qilin 附属公司联系起来，因此 VPN 审查应与勒索软件准备情况联系起来。远程访问网关是入口问题。下一个问题是攻击者进入后可以走多远。
检查特权访问。域管理员、备份管理员、防火墙管理员、云管理员和数据库管理员应拥有单独的帐户、强大的 MFA、受监控的会话以及 VPN 网络的有限使用。
检查备份。不应从远程访问子网广泛访问备份控制台。备份凭据不应存储在共享管理工作站上。恢复测试应该足够及时，以便领导层可以信赖。
检查 EDR 覆盖范围。 VPN 网关、跳转主机、身份服务器、文件服务器、备份服务器和管理工作站需要可见性。没有端点遥测的远程访问事件就变成了猜测。
检查横向移动路径。 SMB、RDP、WinRM、SSH、数据库端口和管理控制台应受角色和网络区域的限制。如果普通 VPN 用户可以访问所有内容，那么勒索软件的准备就已经失败了。
检查决策权。在可疑的 VPN 绕过期间，必须有人能够快速限制访问。公司应该知道谁可以禁用旧协议、阻止网关、撤销会话以及与员工沟通。
这些控件并不能消除修补的需要。他们决定可修补的漏洞是否成为全公司范围的紧急情况。
SToFU Systems 如何应对此类风险
SToFU Systems 将远程访问视为高价值的安全边界。我们不会停止检查补丁是否存在。我们验证真实环境中是否存在脆弱情况以及周围的控制措施是否减少了损害。
对于 VPN 和外围案例，我们的工作可以包括：
- 网关库存和外部暴露映射。
- 旧协议、机器证书、MFA、本地例外和分割隧道的配置审查。
- 根据供应商指导进行补丁和修补程序验证。
- 日志审查计划和可疑会话搜寻。
- 从远程访问用户的角度进行内部覆盖范围测试。
- 对身份、文件存储、管理、备份、源代码、生产和财务系统进行分段审查。
- 围绕备份、管理路径、EDR 可见性和特权访问进行勒索软件准备情况检查。
- 修复支持和复测。
- 审核范围准备就绪时提供证据包和安全认证。
该证书非常有用，因为在采购、投资者尽职调查、网络保险和企业销售过程中都会出现远程访问问题。证书可以表明网关、配置、日志、分段和修复均在指定范围内进行了审查。
领导力的决策路径
领导不需要记住 IKEv1 细节。领导需要索取证据。
询问该公司是否有完整的远程访问库存。询问是否禁用已弃用的协议。询问是否应用了供应商修补程序。询问日志是否覆盖了利用窗口。询问内部覆盖范围是否分段。询问测试是否证明旁路条件已消失。询问是否存在针对客户问题的证书或证据包。
安全团队应该用记录而不是信心来回答。
最强的答案是这样的：
- 这是网关。
- 以下是受影响的配置。
- 这是我们改变的。
- 这是我们审查的日志。
- 这是我们发现的。
- 这是复试。
- 这是证据。
这个答案使公司摆脱了焦虑并掌控了局面。
团队信号
Check Point 案例说明了为什么远程访问在安全认证中值得永久占有一席之地。 VPN 网关不是网络边缘的公用设施箱。它是身份边界、网络边界和业务连续性边界。
当这个边界失效时，接下来的问题就会很快出现。顾客问。保险公司问。董事会询问。伙伴问。监管机构可能会问。
SToFU Systems 帮助公司解决这些问题。我们审查周边、验证修复、寻找窗口、减少内部影响并打包证据。
修补网关。删除旧路径。证明闭包。准备好证据。
