Kritiska Check Point VPN-sårbarheter riskerar att utnyttjas inom kort

Nederländernas nationella cybersäkerhetscenter (NCSC) har uppmanat organisationer att omedelbart åtgärda två kritiska sårbarheter i Check Point VPN. Myndigheten bedömer att angripare snart kan börja utnyttja sårbarheterna, trots att det ännu inte finns någon offentlig proof-of-concept-exploit.

Säkerhetsbristerna, som spåras som CVE-2026-85102 och CVE-2026-85103, kan båda möjliggöra fjärrkörning av kod. Framgångsrika attacker skulle därför kunna ge hotaktörer full kontroll över drabbade system.

NCSC varnar för att attacker kan börja snart

Nederländernas NCSC bedömer både sannolikheten för och den potentiella effekten av exploatering som hög. Därför förväntar sig myndigheten att angripare kommer att rikta in sig på sårbara Check Point-produkter inom en snar framtid.

Check Point VPN gör det möjligt för distansanställda att komma åt interna företagsnätverk via krypterade anslutningar. Följaktligen kan sårbara gateways utgöra en attraktiv ingång till känsliga företagsmiljöer.

Myndigheten varnar för att angripare kan använda sårbarheterna för att komma åt eller ändra konfidentiell information. Dessutom kan de störa verksamheten eller helt kompromettera drabbade system.

Check Point släppte säkerhetsuppdateringar för båda sårbarheterna den 9 september. Även om forskare inte har publicerat någon fungerande exploit bör administratörer inte vänta med att installera uppdateringarna.

Två sårbarheter möjliggör fjärrkörning av kod

CVE-2026-85102 handlar om felaktig validering av certifikatdata under VPN-förhandlingar. En fjärrangripare kan utnyttja svagheten för att köra godtycklig kod på en Security Gateway.

Samtidigt påverkar CVE-2026-85103 VPN-certifikatets ASN.1-avkodare. Heap-overflow-sårbarheten kan möjliggöra fjärrkörning av kod på Security Gateways och Security Management Servers.

Check Point VPN-sårbarheterna påverkar versionerna R81.20, R82, R82.10, R81.10.x och R82.00.x. Versioner som inte längre stöds, från R80 till R80.40 samt R81 och R81.10, är också fortfarande sårbara.

Check Point VPN R82.20 påverkas dock inte av någon av säkerhetsbristerna.

Check Point släpper säkerhetsuppdateringar

Check Point LivePatch Take 24 åtgärdar båda sårbarheterna i R81.20, R82 och R82.10. Företaget har även inkluderat korrigeringar i följande versioner:

• R82.10 Jumbo Hotfix Accumulator Take 44 eller senare
• R82 Jumbo Hotfix Accumulator Take 126 eller senare
• R81.20 Jumbo Hotfix Accumulator Take 166 eller senare
• Spark R82.00.10 Build 2325 eller senare
• Spark R81.10.17 Build 4968 eller senare

LivePatch-användare bör automatiskt ha fått de tillgängliga skydden från och med den 9 september. Dessutom kan korrigeringarna träda i kraft utan att servern behöver startas om.

Administratörer bör dock bekräfta att skyddet är aktivt. LivePatch-skyddet stöder endast R81.20, R82 och R82.10 och omfattar inte alla konfigurationer.

Administratörer uppmanas att begränsa VPN-åtkomst

NCSC rekommenderar organisationer att installera de relevanta säkerhetsuppdateringarna så snart som möjligt. Administratörer som använder Site-to-Site VPN-komponenten bör också skärpa sina VPN-regler.

Organisationer bör specifikt begränsa åtkomsten till betrodda IP-adresser där det är möjligt. Denna åtgärd kan minska exponeringen medan administratörer verifierar eller installerar de tillgängliga uppdateringarna.

System som kör Check Point-versioner som inte längre stöds löper en ytterligare risk. Därför bör organisationer gå över till en version som stöds i stället för att förlita sig på produkter som inte längre får regelbundna säkerhetsuppdateringar.