Check Point warnt vor Ausnutzung einer VPN-Schwachstelle bei Angriffen

Check Point hat aktive Angriffe auf eine VPN-Schwachstelle in Check Point bestätigt, die eine Remote-Codeausführung vor der Authentifizierung ermöglichen kann. Das Unternehmen warnt außerdem davor, dass Angreifer eine separate Schwachstelle in seinem Management-Webdienst ausnutzen.

Angriffe auf VPN-Gateways begannen im September

Die VPN-Schwachstelle, CVE-2026-85102, betrifft die Art und Weise, wie Check Point Security Gateway Zertifikate verarbeitet. Check Point gibt an, seit dem 12. September 2026 eine Welle von Ausnutzungsversuchen gegen Spark-Kunden beobachtet zu haben.

Die Angreifer leiteten ihren Datenverkehr über VPN-Dienste und Proxys, um ihre Standorte zu verschleiern. Darüber hinaus identifizierte Check Point mehrere Zertifikatssubjekte, die bei den Versuchen verwendet wurden. Das Unternehmen weist darauf hin, dass Angreifer auch andere verwenden könnten.

Die separate Schwachstelle im Management-Webdienst, CVE-2026-93616, betrifft Path Traversal. Sie kann es Angreifern ermöglichen, vor der Authentifizierung Skripte auszuführen und Java-Klassen zu laden. Laut Check Point wird sie seit dem 23. Juli von Angreifern ausgenutzt.

CISA hat beide Schwachstellen in seinen Known Exploited Vulnerabilities-Katalog aufgenommen. Zivile US-Bundesbehörden müssen bis zum 25. September Korrekturen oder Abhilfemaßnahmen umsetzen.

Check Point veröffentlicht Patches und Abhilfemaßnahmen

Administratoren sollten die VPN-Schwachstelle in Check Point mit dem für ihr Gateway geeigneten Update patchen. Check Point empfiehlt LivePatch Take 26 für unterstützte R81.20-, R82- und R82.10-Gateways. Das Unternehmen hat außerdem korrigierte Jumbo-Hotfix-Versionen veröffentlicht.

Spark-Kunden sollten unterdessen auf R82.00.10 Build 2325 oder R81.10.17 Build 4968 oder eine neuere Version aktualisieren. Check Point warnt davor, dass einige Kunden, die ein früheres Offline-LivePatch-Paket installiert haben, für einen vollständigen Schutz weiterhin Take 26 benötigen.

Wenn ein sofortiges Update nicht möglich ist, empfiehlt Check Point, den VPN-Datenverkehr auf erforderliche Dienste und vertrauenswürdige Quelladressen zu beschränken. Diese Abhilfemaßnahmen gelten jedoch nicht für lokal verwaltete Spark-Firewalls.

Administratoren sollten außerdem die separaten Anweisungen von Check Point zur Untersuchung und Behebung von CVE-2026-93616 befolgen.