Niederländisches NCSC warnt vor unmittelbarer Ausnutzung von Check Point VPN
In einer Warnung vom 12. September erklärte das niederländische Nationale Cyber-Sicherheitszentrum (NCSC), dass zwei kritische Schwachstellen in Check Point VPN wahrscheinlich sehr bald ausgenutzt werden, und es drängt Organisationen, die Sicherheitsupdates des Herstellers vom 9. September unverzüglich zu installieren. Die Schwachstellen werden als CVE-2026-85102 und CVE-2026-85103 geführt. Obwohl kein öffentlicher Proof-of-Concept-Exploit gemeldet wurde, schätzt die Behörde die Wahrscheinlichkeit einer Ausnutzung und die möglichen Auswirkungen als hoch ein und erwartet, dass Ausnutzungsversuche bald stattfinden werden.
Check Point VPN ist eine Unternehmens-Fernzugriffslösung, die es Mitarbeitern ermöglicht, über verschlüsselte Tunnel sicher eine Verbindung zum internen Netzwerk eines Unternehmens herzustellen. Laut den Check Point-Advisories sk1000117 und sk1000118 handelt es sich bei der ersten Schwachstelle, CVE-2026-85102, um eine unsachgemäße Validierung von Zertifikatsdaten während der VPN-Aushandlung. Ein entfernter Angreifer könnte sie ausnutzen, um beliebigen Code auf einem Security Gateway auszuführen, dem Netzwerkgerät, das VPN-Verbindungen terminiert. Die zweite Schwachstelle, CVE-2026-85103, ist ein Heap-Overflow im VPN-Zertifikat-ASN.1-Decoder. ASN.1 ist eine Standardsyntax zur Darstellung von Zertifikatsdaten, und ein Heap-Overflow bedeutet, dass der Decoder über den ihm zugewiesenen Speicherbereich hinaus schreibt, was den Speicher beschädigen und zu Remote-Code-Ausführung sowohl auf Security Gateways als auch auf Security Management Servern führen kann.
Zu den betroffenen Releases gehören R81.20, R82, R82.10, R81.10.x und R82.00.x sowie die End-of-Support-Versionen R80 bis R80.40, R81 und R81.10. Check Point hat die Schwachstellen mit LivePatch Take 24 für R81.20, R82 und R82.10 behoben. Die Fixes sind auch in R82.10 Jumbo Hotfix Accumulator Take 44 oder später, R82 Jumbo Hotfix Accumulator Take 126 oder später, R81.20 Jumbo Hotfix Accumulator Take 166 oder später, Spark R82.00.10 Build 2325 oder später und Spark R81.10.17 Build 4968 oder später enthalten. Check Point VPN Version R82.20 ist von keiner der beiden Schwachstellen betroffen.
Das NCSC warnt, dass eine erfolgreiche Ausnutzung der beiden Schwachstellen es einem Angreifer ermöglichen könnte, die vollständige Kontrolle über ein System zu erlangen, vertrauliche Daten einzusehen oder zu verändern und den Betrieb zu stören. Systemadministratoren sollten die Updates so schnell wie möglich einspielen. Für Organisationen, die die Site-to-Site VPN-Komponente nutzen, empfiehlt die Behörde außerdem, die VPN-Regeln so zu ändern, dass der Zugriff auf bestimmte, vertrauenswürdige IP-Adressen beschränkt wird. In einem Beitrag im Check Point-Community-Forum wurde Nutzern von Check Point Live Patch (CPLP) mitgeteilt, dass sie seit dem 9. September alle verfügbaren Schutzmaßnahmen für die beiden Schwachstellen erhalten haben sollten und dass diese Fixes auch ohne einen Server-Neustart wirksam sein sollten. CPLP-Nutzer sollten dennoch prüfen, ob sie geschützt sind, da die automatische Mitigation für andere Versionen als R82.10, R82 und R81.20 nicht verfügbar ist und nicht alle Konfigurationen unterstützt.
Für Website-Betreiber, Hosting-Anbieter und IT-Teams ist die Warnung eine Erinnerung daran, dass Fernzugriffsinfrastruktur ein Hauptziel ist. Da Check Point VPN für den Zugriff auf interne Netzwerke verwendet wird, kann ein nicht gepatchtes Gateway zum Einstiegspunkt für Angreifer werden, um tiefer in die Systeme und Daten eines Unternehmens vorzudringen. Das Fehlen eines öffentlichen Exploits heute verringert nicht die Dringlichkeit, wenn eine nationale Sicherheitsbehörde sagt, dass die Ausnutzung unmittelbar bevorsteht. Das Einspielen des Hersteller-Patches oder des empfohlenen LivePatch oder Hotfixes schließt die bekannten Code-Ausführungspfade, bevor Angreifer sie nutzen können. Für Unternehmen, die Unterstützung bei der Überprüfung ihrer Update- und Zugriffskontrollprozesse wünschen, bietet AEU-I sicherheitsorientierte IT- und Infrastrukturberatung.