Check Point varnar för att VPN-sårbarhet utnyttjas i attacker

Check Point har bekräftat aktiva attacker mot en VPN-sårbarhet i Check Point som kan möjliggöra fjärrkörning av kod före autentisering. Företaget varnar också för att angripare utnyttjar en separat sårbarhet i dess Management-webbtjänst.

Attacker mot VPN-gateways började i september

VPN-sårbarheten, CVE-2026-85102, påverkar hur Check Point Security Gateway hanterar certifikat. Check Point uppger att företaget observerade en våg av exploateringsförsök mot Spark-kunder med start den 12 september 2026.

Angripare dirigerade sin trafik genom VPN-tjänster och proxyservrar för att dölja sina platser. Dessutom identifierade Check Point flera certifikatämnen som användes i försöken. Företaget varnar för att angripare kan använda andra.

Den separata sårbarheten i Management-webbtjänsten, CVE-2026-93616, involverar path traversal. Den kan göra det möjligt för angripare att köra skript och ladda Java-klasser före autentisering. Enligt Check Point har angripare utnyttjat den sedan den 23 juli.

CISA har lagt till båda sårbarheterna i sin katalog över Known Exploited Vulnerabilities. Federala civila myndigheter måste installera korrigeringar eller vidta begränsningsåtgärder senast den 25 september.

Check Point släpper patchar och begränsningsåtgärder

Administratörer bör patcha VPN-sårbarheten i Check Point med den uppdatering som är lämplig för deras gateway. Check Point rekommenderar LivePatch Take 26 för stödda R81.20-, R82- och R82.10-gateways. Företaget har också släppt korrigerade Jumbo Hotfix-versioner.

Samtidigt bör Spark-kunder uppdatera till R82.00.10 Build 2325 eller R81.10.17 Build 4968, eller en senare version. Check Point varnar för att vissa kunder som installerade ett tidigare offlinepaket med LivePatch fortfarande behöver Take 26 för fullständigt skydd.

Om en omedelbar uppdatering inte är möjlig rekommenderar Check Point att VPN-trafiken begränsas till nödvändiga tjänster och betrodda källadresser. Dessa begränsningsåtgärder gäller dock inte lokalt hanterade Spark-brandväggar.

Administratörer bör också följa Check Points separata vägledning för att undersöka och åtgärda CVE-2026-93616.