Kritiske Check Point VPN-sårbarheder risikerer snarlig udnyttelse

Det nederlandske nationale cybersikkerhedscenter (NCSC) har advaret organisationer om straks at rette to kritiske Check Point VPN-sårbarheder. Myndigheden mener, at angribere snart kan begynde at udnytte sårbarhederne, selv om der ikke findes nogen offentlig proof-of-concept-udnyttelse.

Sikkerhedsproblemerne, der spores som CVE-2026-85102 og CVE-2026-85103, kan begge muliggøre fjernkørsel af kode. Vellykkede angreb kan derfor give trusselsaktører fuld kontrol over berørte systemer.

NCSC advarer om, at angreb snart kan begynde

Det nederlandske NCSC vurderede både sandsynligheden for og den potentielle konsekvens af udnyttelse som høj. Derfor forventer myndigheden, at angribere vil målrette sårbare Check Point-produkter i den nærmeste fremtid.

Check Point VPN giver fjernarbejdende medarbejdere adgang til interne virksomhedsnetværk via krypterede forbindelser. Sårbare gateways kan derfor udgøre et attraktivt indgangspunkt til følsomme virksomhedsmiljøer.

Myndigheden advarede om, at angribere kan bruge sårbarhederne til at få adgang til eller ændre fortrolige oplysninger. Derudover kan de forstyrre driften eller fuldstændigt kompromittere berørte systemer.

Check Point udsendte sikkerhedsopdateringer til begge sårbarheder den 9. september. Selvom forskere ikke har offentliggjort en fungerende udnyttelse, bør administratorer ikke udsætte installationen af opdateringerne.

To sårbarheder muliggør fjernkørsel af kode

CVE-2026-85102 involverer ukorrekt validering af certifikatdata under VPN-forhandlinger. En fjernangriber kan udnytte svagheden til at køre vilkårlig kode på en Security Gateway.

CVE-2026-85103 påvirker samtidig ASN.1-dekoderen til VPN-certifikater. Heap overflow-sårbarheden kan muliggøre fjernkørsel af kode på Security Gateways og Security Management Servers.

Check Point VPN-sårbarhederne påvirker versionerne R81.20, R82, R82.10, R81.10.x og R82.00.x. Versioner, der ikke længere understøttes, fra R80 til R80.40 samt R81 og R81.10, er også fortsat sårbare.

Check Point VPN R82.20 er dog ikke berørt af nogen af sikkerhedsproblemerne.

Check Point udsender sikkerhedsrettelser

Check Point LivePatch Take 24 retter begge sårbarheder i R81.20, R82 og R82.10. Virksomheden har også inkluderet rettelser i følgende versioner:

• R82.10 Jumbo Hotfix Accumulator Take 44 eller nyere
• R82 Jumbo Hotfix Accumulator Take 126 eller nyere
• R81.20 Jumbo Hotfix Accumulator Take 166 eller nyere
• Spark R82.00.10 Build 2325 eller nyere
• Spark R81.10.17 Build 4968 eller nyere

LivePatch-brugere bør automatisk have modtaget den tilgængelige beskyttelse fra den 9. september. Desuden kan rettelserne træde i kraft uden at genstarte serveren.

Administratorer bør dog bekræfte, at beskyttelsen er aktiv. LivePatch-beskyttelsen understøtter kun R81.20, R82 og R82.10, og den dækker ikke alle konfigurationer.

Administratorer opfordres til at begrænse VPN-adgang

NCSC anbefaler organisationer at installere de relevante sikkerhedsopdateringer så hurtigt som muligt. Administratorer, der bruger Site-to-Site VPN-komponenten, bør også stramme deres VPN-regler.

Organisationer bør specifikt begrænse adgangen til betroede IP-adresser, hvor det er muligt. Denne foranstaltning kan reducere eksponeringen, mens administratorer verificerer eller installerer de tilgængelige rettelser.

Systemer, der kører Check Point-versioner, som ikke længere understøttes, står over for yderligere risiko. Organisationer bør derfor skifte til en understøttet version i stedet for at være afhængige af produkter, der ikke længere modtager regelmæssige sikkerhedsopdateringer.