Check Point advarer om, at VPN-sårbarhed udnyttes i angreb

Check Point har bekræftet aktive angreb mod en VPN-sårbarhed i Check Point, der kan muliggøre ekstern kørsel af kode før godkendelse. Virksomheden advarer også om, at angribere udnytter en separat sårbarhed i dens Management-webtjeneste.

Angreb mod VPN-gateways begyndte i september

VPN-sårbarheden, CVE-2026-85102, påvirker den måde, Check Point Security Gateway håndterer certifikater på. Check Point oplyser, at virksomheden observerede en bølge af udnyttelsesforsøg mod Spark-kunder fra den 12. september 2026.

Angribere dirigerede deres trafik gennem VPN-tjenester og proxyservere for at skjule deres placeringer. Derudover identificerede Check Point flere certifikatsubjekter, der blev brugt i forsøgene. Virksomheden advarer om, at angribere kan bruge andre.

Den separate sårbarhed i Management-webtjenesten, CVE-2026-93616, involverer path traversal. Den kan gøre det muligt for angribere at køre scripts og indlæse Java-klasser før godkendelse. Ifølge Check Point har angribere udnyttet den siden den 23. juli.

CISA har føjet begge sårbarheder til sit Known Exploited Vulnerabilities-katalog. Føderale civile myndigheder skal anvende rettelser eller afværgeforanstaltninger senest den 25. september.

Check Point frigiver patches og afværgeforanstaltninger

Administratorer bør patche VPN-sårbarheden i Check Point ved hjælp af den opdatering, der passer til deres gateway. Check Point anbefaler LivePatch Take 26 til understøttede R81.20-, R82- og R82.10-gateways. Virksomheden har også frigivet rettede Jumbo Hotfix-versioner.

Samtidig bør Spark-kunder opdatere til R82.00.10 Build 2325 eller R81.10.17 Build 4968 eller en nyere version. Check Point advarer om, at nogle kunder, der installerede en tidligere offline LivePatch-pakke, stadig har brug for Take 26 for fuld dækning.

Hvor en øjeblikkelig opdatering ikke er mulig, anbefaler Check Point at begrænse VPN-trafikken til nødvendige tjenester og betroede kildeadresser. Disse afværgeforanstaltninger gælder dog ikke for lokalt administrerede Spark-firewalls.

Administratorer bør også følge Check Points separate vejledning til undersøgelse og håndtering af CVE-2026-93616.