Check Point corregge due vulnerabilità critiche da 9.8 nei certificati VPN

Check Point ha corretto due vulnerabilità critiche nel modo in cui i suoi prodotti firewall e di gestione gestiscono i certificati VPN, le credenziali digitali usate per proteggere un tunnel di rete privata virtuale, secondo un avviso ai clienti pubblicato il 9 settembre. Entrambe le vulnerabilità hanno un punteggio CVSS di 9.8, e Check Point afferma che ciascuna potrebbe consentire a un attaccante remoto non autenticato, cioè una persona che può raggiungere il prodotto attraverso la rete senza un nome utente e una password validi, di eseguire codice, ma solo in condizioni specifiche che il fornitore non ha descritto. Le correzioni hanno iniziato a essere distribuite lo stesso giorno. Check Point riferisce di aver trovato entrambi i problemi internamente e di non aver visto alcuna indicazione che siano stati usati in un attacco.

La prima vulnerabilità è CVE-2026-85102. Il record CVE la descrive come un fallimento nella corretta validazione della fiducia del certificato durante la negoziazione VPN. In parole semplici, il prodotto non conferma in modo affidabile che un certificato VPN sia legittimo prima di elaborarlo, il che può consentire a un attaccante remoto non autenticato di eseguire codice sugli apparati firewall Check Point Security Gateway. La seconda vulnerabilità, CVE-2026-85103, è un heap-based buffer overflow che si verifica mentre il prodotto decodifica la struttura ASN.1 di un certificato VPN. ASN.1 è una notazione standard usata per descrivere la struttura dei certificati e di altri dati codificati. Un heap-based buffer overflow si verifica quando un programma scrive più dati di quanti l'area di memoria riservata possa contenere, una condizione che gli attaccanti possono talvolta sfruttare per eseguire il proprio codice. Secondo il record CVE, questa vulnerabilità potrebbe consentire a un attaccante remoto non autenticato di eseguire codice su sistemi Quantum Security Management e Quantum Security Gateway.

I record CVE elencano le stesse versioni interessate: R82.10 con Jumbo Hotfix Take 43 o inferiore, R82 con Jumbo Hotfix Take 125 o inferiore, e R81.20 con Jumbo Hotfix Take 165 o inferiore. Un Jumbo Hotfix è un pacchetto cumulativo di correzioni software che Check Point rilascia per i suoi prodotti firewall e di gestione. Queste sono le versioni indicate come interessate, non le versioni che contengono la correzione. L'elenco copre tre rami Quantum e non fornisce informazioni sulle versioni per nient'altro. Un avviso dello stesso giorno del Canadian Center for Cyber Security elenca un insieme più ampio di prodotti ma nessuna versione: Security Gateway, Security Management Server e Spark Firewall, la linea per piccole imprese di Check Point. Spark appare due volte, una per distribuzioni che usano VPN Site-to-Site o Remote Access e una senza quella condizione. Nello stesso thread della community, a un membro dello staff di Check Point è stato chiesto se i gateway con la software blade VPN disattivata siano interessati da CVE-2026-85103. Il membro dello staff ha risposto che il problema riguarda l'elaborazione dei certificati, quindi potrebbe, in teoria, essere attivato in un ambiente senza VPN ma con certificati VPN presenti.

Check Point ha dato ai clienti due percorsi verso la correzione. Il primo è Check Point Live Patch, un meccanismo che distribuisce automaticamente le correzioni di sicurezza senza richiedere un aggiornamento software completo o un riavvio. L'azienda afferma che i clienti che lo usano sono protetti automaticamente all'inizio della distribuzione, iniziata il 9 settembre. Un dipendente di Check Point ha detto nel thread che Live Patch può essere installato sopra qualsiasi livello di Jumbo Hotfix in R81.20, R82.00 e R82.10, e ha nominato solo queste tre versioni. Il secondo percorso è il Jumbo Hotfix stesso: Check Point ha detto ai clienti di installare l'ultimo disponibile per la versione distribuita non appena fosse stato reso disponibile. I clienti che non possono ancora applicare la patch hanno segnalato problemi pratici. Due clienti hanno detto di usare R81.10 e di non voler passare ad altro per settimane. Uno ha detto che non era disponibile né un Jumbo Hotfix né un Live Patch per quel ramo, lasciando la mitigazione come unica opzione. Lo stesso cliente ha descritto la mitigazione dell'avviso come la disattivazione delle regole implicite per la VPN, l'ha definita troppo vaga per essere applicata e ha chiesto quali righe di configurazione commentare. L'altro ha chiesto come applicare la mitigazione senza influire sugli utenti remoti. Nessuna delle due domande ha ricevuto risposta nel thread. Diversi clienti hanno anche detto che la distribuzione automatica non li aveva raggiunti. Cinque account separati hanno segnalato che i gateway erano ancora su Take 18 o Take 17 del pacchetto di aggiornamento di sicurezza urgente il giorno dell'annuncio. Uno ha pubblicato un registro di aggiornamento che mostrava Take 18 installato il 1° settembre e nulla da allora. I link di download nei due avvisi non funzionavano per alcuni clienti. Un membro dello staff di Check Point ha risposto che i link erano stati controllati e funzionavano. Un cliente ha detto in seguito che i link degli avvisi fallivano ancora in due browser, mentre il link nell'articolo su Live Patch funzionava.

Le nuove vulnerabilità seguono altri due problemi critici di Check Point divulgati all'inizio del 2026 che erano già stati sfruttati al momento dell'annuncio. A giugno, Check Point ha corretto CVE-2026-50751, un bypass di autenticazione nella validazione dei certificati di Remote Access VPN e Mobile Access. La U.S. Cybersecurity and Infrastructure Security Agency (CISA) lo ha aggiunto al suo catalogo Known Exploited Vulnerabilities l'8 giugno. A luglio, Check Point ha corretto CVE-2026-16232, un bypass di autenticazione di SmartConsole, che CISA ha aggiunto allo stesso catalogo il giorno in cui è stato divulgato. Quell'aggiornamento di luglio includeva tre vulnerabilità in totale, due delle quali interessavano il Security Management Server, lo stesso componente che CVE-2026-85103 raggiunge. Per le due nuove vulnerabilità, Check Point non ha pubblicato indicatori di compromissione. Alla domanda se i log avrebbero mostrato tentativi di sfruttamento, un membro dello staff ha detto che l'azienda non aveva visto prove di sfruttamento esterno, e che gli indicatori di compromissione si applicano solo agli exploit che già esistono. Né l'avviso di Check Point né alcun registro pubblico esaminato per questo articolo indica quali versioni di Spark o Security Management siano interessate, quali build contengano la correzione, o quali condizioni specifiche l'azienda affermi che le vulnerabilità richiedano. Nulla in quel materiale affronta la questione se installare la correzione rimuova l'accesso che un attaccante potrebbe aver già ottenuto. Gli avvisi sk1000117 e sk1000118 di Check Point sono i documenti a cui l'azienda indirizza i clienti per prodotti interessati, guida alla mitigazione e passaggi di rimedio.

Per i proprietari di siti web e i team IT, questa storia è un promemoria che i dispositivi di sicurezza perimetrale come i gateway VPN sono obiettivi di alto valore. Una vulnerabilità di esecuzione di codice remoto in una VPN può dare a un attaccante un punto d'appoggio nella rete che ospita siti web, database e strumenti interni. I certificati VPN non corretti possono essere particolarmente pericolosi perché si trovano al confine di fiducia tra internet e i sistemi privati. Le organizzazioni che usano hardware o software Check Point dovrebbero confrontare immediatamente le loro versioni con l'avviso e passare a un livello corretto il prima possibile. Per i team che hanno bisogno di aiuto nel monitorare e applicare aggiornamenti di sicurezza critici su tutta l'infrastruttura, AEU-I, il servizio IT e di consulenza security-first di AEU Group, offre attività di revisione dell'infrastruttura e della sicurezza che possono supportare la verifica delle patch e la pianificazione della mitigazione.