Qilin

イスラエルのサイバーセキュリティ企業Check Pointは、リモートアクセスVPNおよびモバイルアクセス環境に影響を及ぼす重大な脆弱性を修正するセキュリティアップデートを公開しました。この脆弱性は、ゼロデイ攻撃で悪用されていました。

CVE-2026-50751として追跡されているこの脆弱性は、認証されていないリモート攻撃者によって悪用され、標的となったモバイルアクセス／SSL VPN、リモートアクセスVPN、またはSparkファイアウォールの認証を迂回して、リモートアクセスVPN接続を確立することが可能です。

同社によると、このセキュリティ上の欠陥は、廃止予定のIKEv1鍵交換プロトコルを使用するように構成され、レガシーなリモートアクセスクライアントを受け入れ、接続にマシン証明書を必要としないセキュリティゲートウェイを備えた環境にのみ影響を及ぼします。

image

攻撃は5月7日に始まり、6月上旬に急増し、世界中で「数十」の組織のみに影響を与えており、少なくとも1件のインシデントはQilinランサムウェア攻撃に関連している。

「Check Point Researchは、非推奨のIKEv1鍵交換プロトコルを使用するように構成されたCheck PointリモートアクセスVPNおよびモバイルアクセス環境に影響を与える、重大な認証バイパス脆弱性であるCVE-2026-50751の悪用が活発に行われていることを確認しました」と同社は警告した。

「現時点で確認されている悪用は、世界中の数十の標的型組織に限定されています。そのうち1件は、Qilinランサムウェアの関連グループによる侵害後の活動が確認されています。IKEv1鍵交換プロトコルを使用しているお客様は、利用可能なセキュリティ更新プログラムを直ちに適用することを強く推奨します。」

また、Check Pointは、脆弱なシステムに直ちにパッチを適用できない顧客向けの緩和策として、レガシーなリモートアクセスクライアントのサポートを削除し、Remote Access VPN認証のグローバルプロパティをIKEv2のみに設定し、マシン証明書認証を必須とし、IPSを有効にしてシグネチャをダウンロードするよう助言した。

CVE-2026-50751の脆弱性を調査していた際、 Check Pointは、非推奨となっているIKEv1鍵交換における証明書検証に影響を与える第2の脆弱性（CVE-2026-50752として追跡）を発見しました。これは、サイト間VPN接続に対する中間者攻撃（Man-in-the-Middle）に悪用される可能性があります。

Check Pointは、CVE-2026-50752が実環境で悪用された証拠をまだ確認していませんが、潜在的なリスクを軽減するため、顧客に対して更新プログラムの適用を推奨しています。

Qilinは2022年8月、「Agenda」という名称のRaaS（Ransomware-as-a-Service）組織として活動を開始し、それ以来、ダークウェブ上の情報流出サイトで400件近くの被害を自認している。

このグループの被害者リストには、自動車大手の陽峰（Yangfeng）、日産、日本のビール会社であるアサヒ、出版大手のリー・エンタープライズ、病理検査サービスプロバイダーのシンノビス、オーストラリアのビクトリア州裁判所サービス（Court Services Victoria）といった著名な組織も含まれている。