摘要：CVE-2026-50751 是 Check Point Security Gateway 中一个与已废弃的 IKEv1 密钥交换协议相关的认证逻辑缺陷。该漏洞允许未经身份认证的远程攻击者绕过用户密码验证，直接建立远程访问 VPN 连接，其 CVSS 评分为 9.3，属于严重级别。由于利用复杂度低且无需任何凭据，此漏洞已被 CISA KEV 收录，可能被高级持续威胁组织广泛利用。本文将从漏洞根因、影响范围及修复缓解三个维度进行深度技术剖析。

📌 漏洞概述

CVE-2026-50751 是 Check Point Security Gateway 在 Remote Access 与 Mobile Access 场景中，对已废弃的 IKEv1 密钥交换协议证书验证逻辑存在缺陷。该漏洞的性质为 不当认证（CWE-287），攻击者无需持有合法用户口令，仅通过构造特制的 IKEv1 认证报文，即可绕过身份校验，建立 VPN 隧道。NVD 给予该漏洞 CVSS v3.1 9.3 分（Critical），主要评分因素包括：

• 攻击向量（AV:N）：完全远程，无需物理访问或内网位置。
• 攻击复杂度（AC:L）：无需特殊条件，可直接利用。
• 所需权限（PR:N）：无需任何前置认证。
• 用户交互（UI:N）：无需诱导管理员或合法用户执行任何操作。
• 机密性与完整性影响（C:H/I:H）：攻击者获得完整的 VPN 网络访问权限，可读取、篡改内网资源。

受影响产品为 Check Point Security Gateway 的 Remote Access 和 Mobile Access 组件。尽管厂商并未在基础数据中给出确切受影响版本，但根据官方安全公告（SK185033）及 CISA KEV 描述，所有启用 IKEv1 且允许旧版客户端接入的 Security Gateway 版本均可能受到影响。建议用户立即核对自身环境的版本与配置。

🔬 漏洞根因分析

该漏洞的根源在于 已废弃的 IKEv1 协议实现中对证书认证状态的错误处理。IKEv1 是早于 IKEv2 的密钥交换协议，Check Point 为兼容旧版 Remote Access 客户端，在一段时间内仍保留了对 IKEv1 及旧版客户端（如 Legacy VPN Client）的支持。问题出现在以下逻辑链中：

在正常的 IKEv1 主模式（Main Mode）或野蛮模式（Aggressive Mode）认证过程中，网关需要验证对端证书的有效性，并完成私有认证（如 XAUTH 的用户名密码验证）。理想状态下，证书验证与用户口令验证是串联关系，即只有两者都通过，才能建立 Phase 2 的 IPsec SA。然而，由于 IKEv1 协议本身存在多种认证方式扩展（如证书+XAUTH、纯证书、预共享密钥+XAUTH等），并且 Check Point 在适配旧版客户端时，为兼容某些“证书仅认证”场景，错误地在特定认证交换序列中将证书验证结果直接等同于“用户身份已验证”，跳过或弱化了后续的 XAUTH 用户密码校验。

具体而言，攻击者可以利用一个自签名证书或任意合法 CA 签发的证书（若能获得该证书）发起 IKEv1 连接。当网关在处理证书载荷时，若其逻辑判断仅检查“证书链是否可信”，而未检查“证书是否与已存在的用户条目绑定”，则攻击者只需提供一个有效证书指纹，便会触发网关进入“认证成功”的后续状态机。同时，由于 IKEv1 对 XAUTH 的封装是可选的，攻击者甚至可以不发送 XAUTH 响应，或在认证交换阶段直接告诉网关“使用证书认证模式”，从而彻底绕过密码校验。

从代码层面看，该缺陷属于 状态机逻辑漏洞，而非内存破坏类问题。网关在认证流程中使用了“或”逻辑而非“与”逻辑：if (cert_valid || xauth_ok) { authenticate_success(); }，导致证书验证的通过被错误地视为完整认证的充分条件。另外，IKEv1 中野蛮模式（Aggressive Mode）本身就存在身份保护问题，且更易被离线字典攻击，但该漏洞不依赖任何暴力破解，而是直接利用协议逻辑歧义实现认证旁路。

尽管现已转向 IKEv2，但许多企业出于兼容性考虑仍启用了“Legacy Client Support”。Check Point 在官方缓解说明（SK185033）中明确指出，该漏洞与“disable legacy client support”和“仅使用 IKEv2”两项配置强相关。因此，任何未禁用旧版客户端且仍开启 IKEv1 的网关都是潜在暴露面。

💥 影响与危害

该漏洞的公开利用门槛极低，攻击者只需要能够访问到网关的 VPN 端口（通常为 UDP 500 或 UDP 4500），即可尝试利用。一旦利用成功，将产生以下严重影响：

• 未授权访问内网：攻击者建立合法 VPN 隧道后，获得与普通远程用户相同的网络访问权限，可访问内部服务器、OA 系统、数据库等资源。
• 身份冒用：由于无需合法用户名密码，攻击者可以任意声明用户身份（若证书可控制），并在网关日志中留下伪造的登录记录，造成溯源困难。
• 横向移动跳板：VPN 接入通常处于内网边界，攻击者可进一步利用系统漏洞横向渗透，甚至获取域控权限。
• 数据窃取与加密：结合完整的网络权限，攻击者可窃取敏感数据，也可能部署勒索软件，给企业造成关键业务中断。
• 供应链风险：Check Point 防火墙被广泛部署于政府、金融、运营商等关键信息基础设施中，一旦被攻破，可能引发大规模安全事件。

CISA KEV 已将 CVE-2026-50751 列为“已知已利用漏洞”，说明在现实攻击中已观察到利用行为，各组织必须将其作为最高优先级进行修复。

🛡️ 修复与缓解

Check Point 已发布相关安全公告（SK185033），并提供加固建议。由于资料中未明确给出具体的补丁版本号，用户应立即登录 Check Point Support Center 查找针对 CVE-2026-50751 的 Hotfix 或更新版本。以下措施可有效缓解漏洞：

• 升级到已修复版本：及时将 Security Gateway 升级至厂商确认修复该漏洞的版本（如最新 Jumbo HF 或 R8x 后续维护版本）。
• 禁用旧版客户端支持：如无业务需求，应在远程访问社区中关闭“Legacy Client Support”选项。可通过管理服务器执行脚本 disable_legacy_clients.SMS.sh（或 MDS 环境使用 disable_legacy_clients_MDS.sh）批量禁用。
• 强制仅使用 IKEv2：在全局属性中设置remote-access.vpn-authentication-and-encryption.encryption-method = "ike_v2_only"，或在管理门户中手动切换。这可以从协议层面完全阻断对 IKEv1 的攻击路径，因为 IKEv2 不存在该证书验证逻辑缺陷。
• 网络层限制：在防火墙规则中仅允许已知的合法 VPN 客户端源 IP 访问 UDP 500/4500 端口（如果可行），减少攻击面。
• 监控与检测：检查网关日志中是否存在异常 IKEv1 协商记录，特别是证书认证成功但无 XAUTH 用户名的连接日志；尝试捕获包含异常证书主题的 SA 建立事件。
• 遵循 BOD 22-01 指南：对于云服务或托管网关，若无法立即应用补丁或缓解措施，应考虑暂时关闭远程访问 VPN 功能，直至加固完成。

需要特别注意的是，上述缓解脚本已在 GitHub 上公开（如 CVE-2026-50751-Mitigation-Scripts），管理员在部署前应仔细阅读脚本说明，并在测试环境中验证。其中涉及修改网关对象属性的操作（类 DBEDIT）存在一定风险，建议在变更窗口并备份配置后执行。

🧪 PoC 复现

从 GitHub 公开仓库抓取的实际 PoC 代码（仓库）。

📋 代码元数据语言md来源WadesWeaponShed/CVE-2026-50751-Mitigation-Scripts针对性✅ 已验证与漏洞相关（代码含 CVE 引用）依赖见代码注释/README用法详见代码注释中的使用说明

# CVE-2026-50751-Mitigation-Scripts

There are multiple mitigation techniques you can use from the sk;https://support.checkpoint.com/results/sk/sk185033
1. Disable legacy client support.
2. Configure Remote Access to only use ike v2

There are scripts for both of those changes;
__Please read https://support.checkpoint.com/results/sk/sk166415 to understand supported ikev2 Clients__

## SMS
If you want to do 1 and disable legacy clients download disable_legacy_clients.SMS.sh and run it from the command line of of your manager. Be sure to chmod +x disable_legacy_clients.SMS.sh to make it executible.
PLEASE NOTE THIS USES GENERIC OBJECTS  AND CARRIES THE SAME RISK AS DBEDIT

If you want to simply switch to ike v2 then you can run this simple one line command to do that;
mgmt_cli -r true set global-properties remote-access.vpn-authentication-and-encryption.encryption-method “ike_v2_only"



## MDS
This script is intended for Check Point Multi-Domain Security Management environments. It loops through each configured Domain on an MDS server and updates either the legacy client or the ikev v2 change like the SMS above.

## Purpose
Again,there are two scripts;
1. disable_legacy_clients_MDS.sh will disable the legacy client check box on each gateway object on each domain in your MDS. It loops through them all at once so it may take a bit. Again... PLEASE NOTE THIS USES GENERIC OBJECTS  AND CARRIES THE SAME RISK AS DBEDIT
2. switch_ikev2_mds.sh The script applies the following Management API change in each Domain:
mgmt_cli -r true set global-properties remote-access.vpn-authentication-and-encryption.encryption-method "ike_v2_only"

## Requirements
Run from the MDS management server
Check Point Management API enabled
mgmt_cli must be available in the shell
Script should be run by an administrator familiar with MDS environments
Make sure you use "chmod +x *script_name.sh*" to make the script executible.
Execute with ./*script_name.sh*.sh

## Important Notes
This script publishes changes automatically using -r true.
A policy install is still required on affected gateways for the change to take effect.
Test in a lab or maintenance window before running in production.
__Please read https://support.checkpoint.com/results/sk/sk166415 to understand supported ikev2 Clients__

Review the Domain list before applying changes broadly.
Example Command Used Per Domain
mgmt_cli -r true -d "<DOMAIN_NAME>" set global-properties remote-access.vpn-authentication-and-encryption.encryption-method "ike_v2_only"
Post-Change Verification

You can verify the value in a Domain with:

mgmt_cli -r true -d "<DOMAIN_NAME>" show global-properties details-level full --format json |
jq '.["remote-access"]["vpn-authentication-and-encryption"]["encryption-method"]'

Expected result:

"ike_v2_only"

# Disclaimer
Use at your own risk. Always validate the command syntax against your specific Check Point version and Management API schema before running in production.

⚔️ EXP 利用代码

截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。

🕵️ 检测指纹

当前规则库未收录针对该 CVE 的专用检测规则。建议：

• 根据漏洞根因编写 Nuclei 检测模板
• 在 WAF/IDS 中配置针对漏洞特征的规则
• 关注漏洞指纹库更新

🤖 本文由漏洞情报系统自动聚合生成 · 2026-08-10 17:06 · 数据源: NVD/GitHub-Advisory/OSV/CISA-KEV/Exploit-DB/PoC-in-GitHub + 检测规则库