Kritische Check Point VPN-Schwachstellen könnten in Kürze ausgenutzt werden

Das niederländische Nationale Zentrum für Cybersicherheit (NCSC) hat Organisationen davor gewarnt, zwei kritische Check Point VPN-Schwachstellen nicht ungepatcht zu lassen, und zu einer sofortigen Behebung aufgerufen. Die Behörde geht davon aus, dass Angreifer die Schwachstellen bald ausnutzen könnten, obwohl noch kein öffentlicher Proof-of-Concept-Exploit verfügbar ist.

Die beiden Sicherheitslücken werden als CVE-2026-85102 und CVE-2026-85103 geführt und können eine Remote-Code-Ausführung ermöglichen. Erfolgreiche Angriffe könnten Bedrohungsakteuren daher die vollständige Kontrolle über betroffene Systeme verschaffen.

NCSC warnt vor baldigen Angriffen

Das niederländische NCSC stuft sowohl die Wahrscheinlichkeit als auch die potenziellen Auswirkungen einer Ausnutzung als hoch ein. Daher erwartet die Behörde, dass Angreifer in naher Zukunft verwundbare Check Point-Produkte ins Visier nehmen werden.

Check Point VPN ermöglicht Mitarbeitern im Homeoffice oder an anderen entfernten Standorten den Zugriff auf interne Unternehmensnetzwerke über verschlüsselte Verbindungen. Verwundbare Gateways können daher einen attraktiven Einstiegspunkt in sensible Unternehmensumgebungen darstellen.

Die Behörde warnte, dass Angreifer die Schwachstellen nutzen könnten, um auf vertrauliche Informationen zuzugreifen oder diese zu verändern. Darüber hinaus könnten sie den Betrieb stören oder betroffene Systeme vollständig kompromittieren.

Check Point veröffentlichte am 9. September Sicherheitsupdates für beide Schwachstellen. Obwohl Sicherheitsforscher noch keinen funktionierenden Exploit veröffentlicht haben, sollten Administratoren die Installation der Patches nicht verzögern.

Zwei Schwachstellen ermöglichen Remote-Code-Ausführung

CVE-2026-85102 betrifft eine unzureichende Validierung von Zertifikatsdaten während VPN-Aushandlungen. Ein entfernter Angreifer könnte die Schwachstelle ausnutzen, um beliebigen Code auf einem Security Gateway auszuführen.

CVE-2026-85103 betrifft hingegen den ASN.1-Decoder für VPN-Zertifikate. Der Heap-Overflow könnte eine Remote-Code-Ausführung auf Security Gateways und Security Management Servers ermöglichen.

Die Check Point VPN-Schwachstellen betreffen die Versionen R81.20, R82, R82.10, R81.10.x und R82.00.x. Nicht mehr unterstützte Versionen von R80 bis R80.40 sowie R81 und R81.10 bleiben ebenfalls anfällig.

Check Point VPN R82.20 ist jedoch von keiner der beiden Sicherheitslücken betroffen.

Check Point veröffentlicht Patches

Check Point LivePatch Take 24 behebt beide Schwachstellen in R81.20, R82 und R82.10. Das Unternehmen hat die Korrekturen außerdem in die folgenden Versionen aufgenommen:

• R82.10 Jumbo Hotfix Accumulator Take 44 oder höher
• R82 Jumbo Hotfix Accumulator Take 126 oder höher
• R81.20 Jumbo Hotfix Accumulator Take 166 oder höher
• Spark R82.00.10 Build 2325 oder höher
• Spark R81.10.17 Build 4968 oder höher

LivePatch-Nutzer sollten die verfügbaren Schutzmaßnahmen seit dem 9. September automatisch erhalten haben. Darüber hinaus können die Patches wirksam werden, ohne dass der Server neu gestartet werden muss.

Administratoren sollten jedoch überprüfen, ob der Schutz aktiv ist. Die LivePatch-Abwehr unterstützt nur R81.20, R82 und R82.10 und deckt nicht jede Konfiguration ab.

Administratoren sollen VPN-Zugriff einschränken

Das NCSC empfiehlt Organisationen, die entsprechenden Sicherheitsupdates so schnell wie möglich zu installieren. Administratoren, die die Site-to-Site-VPN-Komponente verwenden, sollten außerdem ihre VPN-Regeln verschärfen.

Insbesondere sollten Organisationen den Zugriff nach Möglichkeit auf vertrauenswürdige IP-Adressen beschränken. Diese Maßnahme kann die Angriffsfläche reduzieren, während Administratoren die verfügbaren Patches überprüfen oder installieren.

Systeme, auf denen nicht mehr unterstützte Check Point-Versionen ausgeführt werden, sind einem zusätzlichen Risiko ausgesetzt. Organisationen sollten daher auf eine unterstützte Version umsteigen, anstatt sich auf Produkte zu verlassen, die keine regelmäßigen Sicherheitsupdates mehr erhalten.