Il NCSC olandese avverte: sfruttamento di Check Point VPN imminente

In un avviso datato 12 settembre, il Centro nazionale per la sicurezza informatica olandese (NCSC) ha dichiarato che due vulnerabilità critiche in Check Point VPN saranno probabilmente sfruttate molto presto, e invita le organizzazioni a installare senza ritardo gli aggiornamenti di sicurezza del fornitore del 9 settembre. Le vulnerabilità sono tracciate come CVE-2026-85102 e CVE-2026-85103. Sebbene non sia stato segnalato alcun exploit proof-of-concept pubblico, l'agenzia valuta alta sia la probabilità di sfruttamento sia il potenziale impatto, e prevede che i tentativi di sfruttamento avvengano presto.

Check Point VPN è una soluzione aziendale di accesso remoto che consente ai dipendenti di connettersi in modo sicuro alla rete interna di un'azienda tramite tunnel cifrati. Secondo gli advisory di Check Point sk1000117 e sk1000118, la prima vulnerabilità, CVE-2026-85102, è una convalida impropria dei dati del certificato durante la negoziazione VPN. Un attaccante remoto potrebbe sfruttarla per eseguire codice arbitrario su un Security Gateway, ovvero il dispositivo di rete che termina le connessioni VPN. La seconda vulnerabilità, CVE-2026-85103, è un heap overflow nel decoder ASN.1 dei certificati VPN. ASN.1 è una sintassi standard usata per rappresentare i dati dei certificati, e un heap overflow significa che il decoder scrive oltre l'area di memoria che gli è stata assegnata, il che può corrompere la memoria e portare all'esecuzione di codice da remoto sia sui Security Gateway sia sui Security Management Server.

Le release interessate includono R81.20, R82, R82.10, R81.10.x e R82.00.x, oltre alle versioni a fine supporto da R80 a R80.40, R81 e R81.10. Check Point ha corretto le vulnerabilità con LivePatch Take 24 per R81.20, R82 e R82.10. Le correzioni sono incluse anche in R82.10 Jumbo Hotfix Accumulator Take 44 o successivo, R82 Jumbo Hotfix Accumulator Take 126 o successivo, R81.20 Jumbo Hotfix Accumulator Take 166 o successivo, Spark R82.00.10 Build 2325 o successivo e Spark R81.10.17 Build 4968 o successivo. Check Point VPN versione R82.20 non è interessata da nessuna delle due vulnerabilità.

Il NCSC avverte che lo sfruttamento riuscito delle due vulnerabilità potrebbe consentire a un attaccante di prendere il pieno controllo di un sistema, visualizzare o modificare dati riservati e interrompere le operazioni. Gli amministratori di sistema dovrebbero applicare gli aggiornamenti il prima possibile. Per le organizzazioni che utilizzano il componente Site-to-Site VPN, l'agenzia consiglia inoltre di modificare le regole VPN per limitare l'accesso a indirizzi IP specifici e attendibili. In un post sul forum della community Check Point, agli utenti di Check Point Live Patch (CPLP) è stato detto che avrebbero dovuto ricevere tutte le protezioni disponibili per le due vulnerabilità dal 9 settembre, e tali correzioni dovrebbero applicarsi anche senza un riavvio del server. Gli utenti CPLP dovrebbero comunque verificare se sono protetti, perché la mitigazione automatica non è disponibile per versioni diverse da R82.10, R82 e R81.20 e non supporta tutte le configurazioni.

Per i proprietari di siti web, i provider di hosting e i team IT, l'avviso è un promemoria che l'infrastruttura di accesso remoto è un bersaglio privilegiato. Poiché Check Point VPN viene usato per raggiungere le reti interne, un gateway non aggiornato può diventare il punto di ingresso per gli attaccanti che vogliono muoversi più in profondità nei sistemi e nei dati di un'azienda. L'assenza di un exploit pubblico oggi non riduce l'urgenza quando un'agenzia nazionale di sicurezza afferma che lo sfruttamento è imminente. Applicare la patch del fornitore, o il LivePatch o l'hotfix raccomandati, chiude i percorsi noti di esecuzione del codice prima che gli attaccanti possano usarli. Per le aziende che desiderano assistenza nella revisione dei propri processi di aggiornamento e controllo degli accessi, AEU-I fornisce consulenza IT e infrastrutturale orientata alla sicurezza.