Kritiske Check Point VPN-sårbarheter kan snart bli utnyttet

Det nederlandske nasjonale cybersikkerhetssenteret (NCSC) har advart organisasjoner om å rette to kritiske Check Point VPN-sårbarheter umiddelbart. Myndigheten mener angripere snart kan begynne å utnytte sårbarhetene, til tross for at det ikke finnes noen offentlig proof-of-concept-utnyttelse.

Sikkerhetsproblemene, registrert som CVE-2026-85102 og CVE-2026-85103, kan begge muliggjøre ekstern kjøring av kode. Vellykkede angrep kan derfor gi trusselaktører full kontroll over berørte systemer.

NCSC advarer om at angrep kan begynne snart

Det nederlandske NCSC vurderte både sannsynligheten for og den potensielle konsekvensen av utnyttelse som høy. Som et resultat forventer myndigheten at angripere vil rette seg mot sårbare Check Point-produkter i nær fremtid.

Check Point VPN gjør det mulig for ansatte som jobber eksternt å få tilgang til interne bedriftsnettverk gjennom krypterte forbindelser. Sårbare gatewayer kan derfor være et attraktivt inngangspunkt til sensitive bedriftsmiljøer.

Myndigheten advarte om at angripere kan bruke sårbarhetene til å få tilgang til eller endre konfidensiell informasjon. I tillegg kan de forstyrre driften eller fullstendig kompromittere berørte systemer.

Check Point lanserte sikkerhetsoppdateringer for begge sårbarhetene 9. september. Selv om forskere ikke har publisert en fungerende utnyttelse, bør administratorer ikke utsette oppdateringen.

To sårbarheter muliggjør ekstern kjøring av kode

CVE-2026-85102 innebærer feilaktig validering av sertifikatdata under VPN-forhandlinger. En ekstern angriper kan utnytte svakheten til å kjøre vilkårlig kode på en Security Gateway.

CVE-2026-85103 påvirker samtidig ASN.1-dekoderen for VPN-sertifikater. Heap overflow-sårbarheten kan muliggjøre ekstern kjøring av kode på Security Gateways og Security Management Servers.

Check Point VPN-sårbarhetene påvirker versjonene R81.20, R82, R82.10, R81.10.x og R82.00.x. Versjoner som ikke lenger støttes, fra R80 til R80.40 samt R81 og R81.10, er også fortsatt sårbare.

Check Point VPN R82.20 påvirkes imidlertid ikke av noen av sikkerhetsproblemene.

Check Point lanserer oppdateringer

Check Point LivePatch Take 24 retter begge sårbarhetene i R81.20, R82 og R82.10. Selskapet har også inkludert rettelser i følgende versjoner:

• R82.10 Jumbo Hotfix Accumulator Take 44 eller nyere
• R82 Jumbo Hotfix Accumulator Take 126 eller nyere
• R81.20 Jumbo Hotfix Accumulator Take 166 eller nyere
• Spark R82.00.10 Build 2325 eller nyere
• Spark R81.10.17 Build 4968 eller nyere

LivePatch-brukere skal ha mottatt den tilgjengelige beskyttelsen automatisk fra 9. september. I tillegg kan oppdateringene tre i kraft uten at serveren må startes på nytt.

Administratorer bør imidlertid bekrefte at beskyttelsen er aktiv. LivePatch-beskyttelsen støtter bare R81.20, R82 og R82.10, og den dekker ikke alle konfigurasjoner.

Administratorer oppfordres til å begrense VPN-tilgang

NCSC anbefaler organisasjoner å installere de relevante sikkerhetsoppdateringene så snart som mulig. Administratorer som bruker Site-to-Site VPN-komponenten, bør også stramme inn VPN-reglene sine.

Organisasjoner bør spesifikt begrense tilgangen til pålitelige IP-adresser der det er mulig. Dette tiltaket kan redusere eksponeringen mens administratorer verifiserer eller installerer de tilgjengelige oppdateringene.

Systemer som kjører Check Point-versjoner som ikke lenger støttes, står overfor ytterligere risiko. Organisasjoner bør derfor gå over til en støttet versjon i stedet for å stole på produkter som ikke lenger mottar regelmessige sikkerhetsoppdateringer.