Check Point VPN Certificate Vulnerability: Jetzt patchen

Check Point hat am 9. September eine Check Point VPN Certificate Vulnerability in zwei Teilen offengelegt, CVE-2026-85102 und CVE-2026-85103, beide mit CVSS 9,8, und das niederländische Cyber-Sicherheitszentrum NCSC warnt inzwischen vor einer wahrscheinlich unmittelbar bevorstehenden groß angelegten Ausnutzung, obwohl Check Point selbst noch keine Angriffe in freier Wildbahn beobachtet hat. Beide Schwachstellen ermöglichen unauthentifizierte Remote-Code-Ausführung auf Security-Gateway- und Spark-Firewall-Geräten, noch bevor eine Anmeldung stattfindet.

Was ist passiert

CVE-2026-85102 beruht auf einer unzureichenden Validierung der Zertifikatsvertrauenswürdigkeit während der VPN-Aushandlung bei Remote-Access- und Site-to-Site-VPN und erlaubt einem unauthentifizierten Angreifer aus der Ferne die Ausführung beliebigen Codes auf dem Security Gateway. CVE-2026-85103 ist ein separater heap-basierter Pufferüberlauf im ASN.1-Decoder für VPN-Zertifikate, der einen zweiten Pre-Auth-Weg zur Remote-Code-Ausführung auf Gateways und Security Management Servern eröffnet. Betroffen sind die Releases R81.20, R82, R82.10, R81.10.x und R82.00.x sowie die nicht mehr unterstützten Linien R80 bis R80.40, R81 und R81.10; R82.20 ist nicht betroffen. Check Point veröffentlichte am selben Tag Fixes über LivePatch (Take 24, automatischer Rollout) sowie den Jumbo Hotfix Accumulator (Take 44, 126 oder 166, je nach Version), dokumentiert in den Advisories sk1000117 und sk1000118.

Diese Check Point VPN Certificate Vulnerability ist die dritte eigenständige kritische Check-Point-CVE, die DIESEC im Jahr 2026 verfolgt hat: CVE-2026-50751, ein Authentifizierungs-Bypass im veralteten IKEv1-VPN, aktiv ausgenutzt durch Qilin-Ransomware (Juni), sowie CVE-2026-16232, eine unauthentifizierte Token-Fälschung in SmartConsole mit vollem Admin-Zugriff auf die Firewall-Verwaltung, aufgenommen in CISAs Known-Exploited-Vulnerabilities-Katalog (Juli).

Warum das wichtig ist

Check-Point-Security-Gateways und Spark-Firewalls sind im DACH-Raum in Banken, Versicherungen und der Fertigungsindustrie weit verbreitet, oft gerade wegen ihres compliance-freundlichen Verwaltungsmodells. Drei kritische, unabhängig voneinander offengelegte Schwachstellen desselben Herstellers innerhalb von zwölf Monaten sollten in einer Lieferantenrisikobewertung als Muster behandelt werden, nicht als drei isolierte Tickets zum Abhaken. Die „unmittelbar bevorstehende Ausnutzung“ des niederländischen NCSC, ausgesprochen, bevor Check Point selbst irgendeine Angriffsaktivität bestätigt hat, erinnert zudem daran, dass die Ausnutzungsstatus-Angabe eines Herstellers nur widerspiegelt, was dieser Hersteller selbst beobachtet hat, nicht, was anderswo tatsächlich geschieht.

Was Sie jetzt tun sollten

1. Spielen Sie noch heute LivePatch Take 24 oder den passenden Jumbo Hotfix Accumulator Take (44, 126 oder 166, je nach Version) ein; die genaue Take-Nummer für Ihr Release finden Sie in sk1000117 und sk1000118.
2. Prüfen Sie, ob einzelne Gateways noch auf nicht mehr unterstützten Releases (R80–R80.40, R81, R81.10) laufen; diese sind betroffen und erhalten über diesen Fix hinaus keine weiteren Sicherheitsupdates.
3. Falls ein sofortiges Patchen nicht möglich ist, prüfen Sie, ob die Terminierung von Remote-Access- und Site-to-Site-VPN vorübergehend eingeschränkt oder engmaschiger überwacht werden kann, bis der Hotfix eingespielt ist.
4. Verfolgen Sie die Advisories von Check Point sowie das NCSC-Bulletin auf Aktualisierungen; beide Schwachstellen sind Pre-Auth, und die Einschätzung der Ausnutzungswahrscheinlichkeit kann sich schnell ändern.

DIESEC-Einschätzung

Drei kritische Check-Point-Schwachstellen in weniger als einem Jahr (ein durch Ransomware ausgenutzter VPN-Authentifizierungs-Bypass, eine Token-Fälschung in der Verwaltungskonsole und nun ein RCE-Paar in der VPN-Zertifikatsverarbeitung) sind kein Einzelfall mehr. Wir empfehlen Mittelstandsunternehmen zunehmend, die herstellerspezifische CVE-Häufigkeit als eigene Risikokennzahl in Lieferantenbewertungen zu erfassen, nicht nur einzelne CVSS-Werte isoliert zu betrachten.

Nicht sicher, ob Ihr Check-Point-Bestand gegen alle drei Offenlegungen aus 2026 vollständig gepatcht ist, nicht nur gegen die neueste? Kontaktieren Sie DIESEC für eine schnelle Patch-Verifizierung und Firewall-Konfigurationsprüfung.

Quellen: The Hacker News | BleepingComputer
Veröffentlicht: 2026-09-16 | Kategorie: Tägliche News | ~4 Min. Lesezeit