A Check Point sürgősségi biztonsági frissítéseket adott ki a Security Gateway, Security Management és Spark Firewall termékeit érintő két kritikus sérülékenységhez. A vállalat arra figyelmeztetett, hogy a támadók potenciálisan hitelesítés nélkül használhatják ki a hibákat tetszőleges kód végrehajtására.
A CVE-2026-85102 és CVE-2026-85103 azonosítóval nyomon követett sérülékenységek egyaránt kritikus, 10-ből 9,8-as CVSS súlyossági pontszámot kaptak. A hibák a virtuális magánhálózati kapcsolatokban használt digitális tanúsítványok feldolgozását és ellenőrzését érintik, ezért különösen nagy kockázatot jelentenek az internet felől elérhető biztonsági átjárók számára.
A Check Point azután hozta nyilvánosságra a sérülékenységeket, hogy azokat a vállalat kutatócsoportja belső vizsgálat során felfedezte. A kiberbiztonsági vállalat közlése szerint a közzététel időpontjában nem talált bizonyítékot arra, hogy bármelyik sérülékenységet aktívan kihasználták volna.
Mivel azonban mindkét hiba lehetővé teheti egy távoli, hitelesítetlen támadó számára, hogy kódot hajtson végre a vállalati hálózatok peremén elhelyezkedő rendszereken, a szervezeteknek késlekedés nélkül telepíteniük kell a rendelkezésre álló védelmi megoldásokat.
„A Check Point kutatócsoportja két kritikus, VPN-hez kapcsolódó sérülékenységet – a CVE-2026-85102 és CVE-2026-85103 hibát – azonosított és javított. Ezek meghatározott körülmények között potenciálisan lehetővé tehetik a hitelesítés nélküli távoli kódfuttatást” – közölte a vállalat biztonsági bejelentésében.
A Check Point nem ismertette nyilvánosan a sérülékenységek kihasználásához szükséges pontos feltételeket. Ennek valószínű célja, hogy korlátozza a támadók rendelkezésére álló információkat, amíg az ügyfelek még a javításokat telepítik.
A tanúsítvány-ellenőrzési hiba veszélyezteti a VPN-átjárókat
Az első sérülékenység, a CVE-2026-85102 a VPN-kapcsolat egyeztetési folyamatát érintő hibás tanúsítvány-ellenőrzési probléma.
A digitális tanúsítványok központi szerepet töltenek be a megbízható VPN-kapcsolatok létrehozásában. A kapcsolódási kísérlet során a részt vevő rendszerek megvizsgálják a tanúsítvány adatait, hogy ellenőrizzék az identitásokat, megállapítsák, megbízható hitelesítésszolgáltató állította-e ki a tanúsítványt, valamint megerősítsék, hogy az továbbra is érvényes a rendeltetése szerinti felhasználásra.
A Check Point szerint az érintett termékek a VPN-kapcsolat egyeztetése során nem ellenőrzik megfelelően a tanúsítvány bizonyos adatait. A VPN-szolgáltatást elérő, hitelesítetlen támadó olyan speciálisan kialakított tanúsítványadatokat küldhet, amelyek hatására a Security Gateway hibásan dolgozza fel a nem megbízható bemenetet.
A szükséges feltételek teljesülése esetén a sérülékenység kihasználása tetszőleges kód végrehajtásához vezethet az átjárón. A támadónak ehhez nincs szüksége meglévő fiókra, érvényes VPN-hitelesítő adatokra vagy felhasználói közreműködésre.
A gyengeség a Remote Access VPN vagy site-to-site VPN működésre konfigurált Check Point Security Gateway és Spark Firewall rendszereket érinti. A site-to-site VPN-ek titkosított kapcsolatokat hoznak létre szervezeti hálózatok, kirendeltségek, felhőkörnyezetek vagy partneri infrastruktúrák között, míg a távoli hozzáférésű VPN-ek lehetővé teszik, hogy az alkalmazottak és alvállalkozók külső helyszínekről kapcsolódjanak a belső rendszerekhez.
A Check Point az érintett, jelenleg támogatott kiadások között sorolja fel az R81.20, R82 és R82.10 verziókat. Az R81.10.x és R82.00.x verzióágak szintén érintettek, több régebbi, már nem támogatott verzió mellett: R80, R80.10, R80.20, R80.30, R80.40, R81 és R81.10.
A vállalat szerint az R82.20 verziót nem érinti a CVE-2026-85102. Az érintett termékek és a hozzájuk tartozó javítócsomagok teljes listája az sk1000117 biztonsági közleményben érhető el.
A hiba azért különösen súlyos, mert egy VPN-átjárót rendeltetésénél fogva elérhetővé kell tenni a megbízható hálózaton kívülről. Miközben egy hagyományos belső sérülékenység kihasználásához a támadónak először valamilyen kezdeti hozzáférést kell szereznie, egy internet felől elérhető távoli hozzáférési szolgáltatás hibája önmagában is biztosíthatja ezt a belépési pontot.
Heap-túlcsordulás az ASN.1 tanúsítványdekódolóban
A CVE-2026-85103 egy különálló memóriakorrupciós sérülékenység a VPN-tanúsítványok Abstract Syntax Notation One, vagyis ASN.1 struktúrájának dekódolására használt kódban.
Az ASN.1 a strukturált információk ábrázolására szolgáló szabványos formátum, amelyet széles körben alkalmaznak kriptográfiai protokollokban és X.509 digitális tanúsítványokban. Mielőtt egy rendszer megvizsgálhatná a tanúsítvány mezőit, dekódolnia kell a fogadott ASN.1-formátumú adatokat.
Heap-alapú puffertúlcsordulás akkor következik be, amikor a szoftver több adatot ír egy dinamikusan lefoglalt memóriaterületre, mint amennyinek a befogadására azt eredetileg tervezték. A felesleges adatok felülírhatják a szomszédos memóriaterületeket, károsíthatják az alkalmazás állapotát, vagy módosíthatják a program végrehajtását befolyásoló értékeket.
Egyes puffertúlcsordulások csak a szolgáltatás összeomlását okozzák, a gondosan irányított memóriakorrupció azonban bizonyos esetekben tetszőleges kód végrehajtására is felhasználható. Egy sikeres támadó potenciálisan arra kényszerítheti a sebezhető folyamatot, hogy annak meglévő jogosultságaival a támadó által meghatározott utasításokat hajtson végre.
A CVE-2026-85103 CVE-bejegyzése a problémát a VPN-tanúsítványok ASN.1-dekódolásában található heap-alapú puffertúlcsordulásként írja le. A hiba lehetővé teheti, hogy egy hitelesítetlen távoli támadó tetszőleges kódot futtasson a Check Point Quantum Security Management és Quantum Security Gateway rendszereken.
Az érintett termékek köre lényeges. A CVE-2026-85102 hibát a Check Point közleménye elsősorban a VPN-szolgáltatásokat működtető átjárókkal és Spark Firewall rendszerekkel hozza összefüggésbe, a CVE-2026-85103 azonban a Check Point-környezetek adminisztrálására használt Security Management összetevőt is érintheti.
A vállalat azt is jelezte, hogy a CVE-2026-85103 a tanúsítványok feldolgozásához kapcsolódik, ezért elméletileg olyan környezetben is aktiválható lehet, ahol a VPN Software Blade le van tiltva, de a VPN-tanúsítványok továbbra is jelen vannak vagy feldolgozásra kerülnek. Az adminisztrátorok ezért nem feltételezhetik, hogy egy látható VPN-funkció letiltása önmagában megszünteti a kitettséget.
Miért különösen veszélyes a távoli kódfuttatás egy tűzfalon?
Egy tűzfal vagy VPN-átjáró nem egyszerűen egy újabb kiszolgáló. Kiemelt pozíciót foglal el a nyilvános internet és a szervezet belső rendszerei között. Gyakran az összes bejövő és kimenő forgalmat feldolgozza, miközben megbízható kapcsolatokat tart fenn identitáskezelő platformokkal, felügyeleti kiszolgálókkal és más biztonsági eszközökkel.
Ha a támadók kódvégrehajtási képességet szereznek egy átjárón, a lehetséges következmények messze túlmutathatnak a VPN-szolgáltatás megzavarásán.
Az érintett összetevőtől, a végrehajtási környezettől és a támadó által ezt követően elérhető hozzáférésektől függően a kompromittált átjáró tartós jelenlét kialakítására, konfigurációs információk ellopására, hitelesítési adatok rögzítésére, hálózati forgalom manipulálására vagy a védett környezetbe irányuló további mozgás kiindulópontjaként is használható.
A biztonsági eszközök érzékeny működési adatokat is tárolhatnak, beleértve a hálózati topológiát, a hozzáférési szabályzatokat, a VPN-konfigurációkat, a tanúsítványokat és a naplókat. Az ilyen rendszer felett ellenőrzést szerző támadó beavatkozhat azokba a bizonyítékokba, amelyekre a védelmi szakemberek a behatolás kivizsgálásakor támaszkodnak.
A két sérülékenység kihasználását követően rendelkezésre álló pontos lehetőségeket nem hozták nyilvánosságra. A Check Point nem tett közzé proof-of-concept kódot, részletes technikai exploitinformációkat vagy megtörtént támadásokra utaló indikátorokat. A 9,8-as súlyossági pontszámokban tükröződő lehetséges hatás miatt a sérülékenységeket ennek ellenére kiemelt prioritással kell kezelni.
A CVSS-besorolás szerint a kihasználás hálózaton keresztül lehetséges, nem igényel jogosultságot vagy felhasználói közreműködést, a sikeres támadás pedig jelentős hatással lehet a bizalmasságra, a sértetlenségre és a rendelkezésre állásra.
Megjelentek a LivePatch-védelmek és a Jumbo Hotfixek
A Check Point két fő lehetőséget biztosít a javítások telepítésére: a LivePatch mechanizmust és a frissített Jumbo Hotfix Accumulator csomagokat.
Az automatikus Check Point LivePatch-telepítést engedélyező ügyfelek a vállalat szeptember 9-én megkezdett, fokozatos bevezetési folyamatán keresztül kapják meg a védelmet. Azok az adminisztrátorok, akik nem szeretnék megvárni az automatikus telepítést, manuálisan is letölthetik és telepíthetik a megfelelő sürgősségi biztonsági frissítést.
Az R81.20, R82 és R82.10 verziók esetében a védelem a Take 24 azonosítójú sürgősségi biztonságifrissítés-csomagban található.
A javításokat a következő Jumbo Hotfix Accumulator kiadások is tartalmazzák:
- R82.10: Take 44-től
- R82: Take 126-tól
- R81.20: Take 166-tól
- Spark Firewall R82.00.10: Build 2325-től
- Spark Firewall R81.10.17: Build 4968-tól
A Check Point szerint az adminisztrátorok a Security Gateway vagy egy ClusterXL-tag Expert módjában futtatott következő paranccsal ellenőrizhetik a telepítést:
cpinfo -y CPupdatesA kimenetben meg kell erősíteniük, hogy a vonatkozó sürgősségi biztonságifrissítés-csomag Take 24 verziója telepítve van.
Egy önálló átjárón vagy ClusterXL-tagon a LivePatch állapota a következő paranccsal vizsgálható:
cplp listScalable Platform Security Group rendszeren az adminisztrátorok a következő parancsot használhatják:
g_all cplp listA sikeres kimenetnek tartalmaznia kell a CVE-2026-85102 és CVE-2026-85103 elleni védelmet a megfelelő tanúsítvány- és VPN-folyamatokhoz társítva.
A szervezeteknek ténylegesen ellenőrizniük kell, hogy a védelem aktív-e, nem szabad feltételezniük, hogy az automatikusan kézbesített frissítés már minden eszközre megérkezett. A fokozatos telepítés miatt a különböző rendszerek eltérő időpontokban kaphatják meg a frissítést, különösen nagy vagy földrajzilag elosztott környezetekben.
Ideiglenes kockázatcsökkentő megoldás érhető el a site-to-site VPN-ekhez
A Check Point ideiglenes kockázatcsökkentő eljárást tett közzé a CVE-2026-85102 által érintett site-to-site VPN-telepítésekhez.
Az adminisztrátorok letilthatják az implicit VPN-szabályokat, majd manuálisan úgy korlátozhatják az 500-as és 4500-as UDP-portot, hogy azokon kizárólag az engedélyezett VPN-partnerek IP-címeiről érkező kapcsolatok legyenek elfogadhatók. Ezeket a portokat általában az Internet Key Exchange és az IPsec NAT Traversal használja.
A hozzáférés ismert partnercímekre történő korlátozása csökkenti azoknak a rendszereknek a számát, amelyek VPN-egyeztetést kezdeményezhetnek az átjáróval. Ezzel mérsékelhető az internet tetszőleges gépei felől fennálló kitettség.
A Check Point szerint ez az intézkedés nem alkalmazható a helyileg felügyelt Spark Firewall rendszerekre, és nem kezelhető a biztonsági frissítés telepítésének tartós helyettesítőjeként.
Bizonyos távoli hozzáférési környezetekhez sem feltétlenül megfelelő, mivel a legitim felhasználók változó vagy előre nem látható nyilvános IP-címekről kapcsolódhatnak. A szabályok módosítása előtt a szervezeteknek fel kell mérniük a működési követelményeket, különösen a mobilfelhasználóktól, harmadik felek hozzáférésétől vagy dinamikus telephelyi kapcsolatoktól függő környezetekben.
A már nem támogatott rendszerek hosszabb távú kockázatot jelentenek
Az érintett verziók listája több olyan kiadást is tartalmaz, amelynek támogatási időszaka már véget ért. Az R80 és R81.10 közötti verziókat futtató rendszereket szélesebb körű biztonsági kockázatként kell kezelni még akkor is, ha a szervezet ideiglenes vagy kivételes javítást tud beszerezni hozzájuk.
A már nem támogatott eszközök nem részesülnek ugyanolyan rendszeres biztonsági karbantartásban, mint a jelenleg támogatott termékek. Emiatt olyan további sérülékenységeket is tartalmazhatnak, amelyekhez nem érhető el javítás, a javítás csak részleges, vagy annak telepítése nehézségekbe ütközik.
Az adminisztrátoroknak azonosítaniuk kell a környezetben működő összes Check Point átjárót, felügyeleti kiszolgálót, virtuális eszközt és Spark Firewall rendszert, fel kell jegyezniük azok pontos szoftververzióját, és meg kell állapítaniuk, hogy továbbra is támogatottak-e.
A leltárnak ki kell terjednie a készenléti fürttagokra, laboratóriumi rendszerekre, katasztrófa-helyreállítási eszközökre, valamint a kirendeltségeken vagy felhőkörnyezetekben üzembe helyezett berendezésekre is. A biztonsági csapatok gyakran az elsődleges éles átjárókra összpontosítanak, miközben figyelmen kívül hagyják a másodlagos, de továbbra is kívülről elérhető rendszereket.
Ha egy érintett eszköz nem frissíthető azonnal, a szervezetnek a lehető legszigorúbban korlátoznia kell annak felügyeleti és VPN-interfészeit, kizárólag kifejezetten engedélyezett forrásokból szabad kapcsolatokat fogadnia, és fokoznia kell az eszköz körüli megfigyelést.
Aktív kihasználást nem észleltek, de gyorsan megjelenhetnek a támadások
A Check Point szerint mindkét sérülékenységet belső kutatás során fedezték fel, és nincs aktív kihasználásra utaló információjuk. Ez megkülönbözteti a közzétételt egy ismert nulladik napi támadásra adott sürgősségi válaszlépéstől.
Az észlelt kihasználás hiánya azonban nem bizonyítja, hogy egyáltalán nem történtek támadások. A hálózati peremen elhelyezkedő eszközök megfigyelése nehéz lehet, a tűzfalakat vagy VPN-átjárókat érintő behatolások pedig kevesebb hagyományos végpont-telemetriát hagyhatnak maguk után, mint a Windows- vagy Linux-kiszolgálók elleni támadások.
A nyilvánosságra hozatal a fenyegetési környezetet is megváltoztatja. Miután a gyártó közzéteszi az érintett termékeket, a sérülékenységek kategóriáit és a javítási információkat, a biztonsági kutatók és a fenyegetési szereplők összehasonlíthatják a sebezhető és a javított szoftvert a releváns kódmódosítások azonosításához.
A patch-differencing néven ismert folyamat akkor is felgyorsíthatja az exploitok fejlesztését, ha a gyártó nem teszi közzé a részletes technikai információkat. A frissítés megjelenését ezért egy olyan verseny kezdeteként kell értelmezni, amelyben a védelmi csapatok megpróbálják telepíteni a javítást, miközben a támadók a sérülékenység visszafejtésén dolgoznak.
A VPN-termékek gyakori célpontjaivá váltak a kiberbűnözőknek és az állami hátterű csoportoknak, mivel az internetes elérhetőséget a vállalati hálózatokhoz biztosított privilegizált hozzáféréssel kombinálják. A hitelesítés megkerülését vagy hitelesítés előtti távoli kódfuttatást lehetővé tevő hibák különösen értékesek, mert szükségtelenné tehetik a felhasználói jelszó ellopását vagy a többtényezős hitelesítés kijátszását.
A Check Point termékeit 2026 elején már célba vették a CVE-2026-50751-en keresztül. Ez egy különálló, kritikus hitelesítésmegkerülési sérülékenység volt, amely bizonyos Remote Access VPN, Mobile Access és Spark Firewall konfigurációkat érintett.
A Check Point beszámolója szerint a korábbi hibát több tucat szervezet ellen használták ki, és legalább egy incidensben a Qilin zsarolóvírus telepítésével is összefüggésbe hozták. A CVE-2026-85102 és CVE-2026-85103 ettől elkülönülő sérülékenységek, és jelenleg nincs arra utaló bizonyíték, hogy kapcsolatban állnának ezzel a kampánnyal.
Ajánlott intézkedések a szervezetek számára
A biztonsági csapatoknak elsőként az internet felől elérhető Check Point átjárókat kell kezelniük, és meg kell állapítaniuk, hogy bármelyik eszköz érintett verziót futtat-e vagy feldolgoz-e VPN-tanúsítványokat.
A szervezeteknek telepíteniük kell a megfelelő LivePatchet vagy Jumbo Hotfixet, minden átjárón és felügyeleti rendszeren ellenőrizniük kell a védelem aktiválását, majd a megszokott változáskezelési folyamatukban dokumentálniuk kell az eredményt.
A csapatoknak a tűzfal- és VPN-naplókban is keresniük kell a tanúsítvány-feldolgozás szokatlan hibáit, a folyamatok megmagyarázhatatlan újraindulását, a váratlan adminisztrátori tevékenységet, a hozzáférési szabályzatok módosítását és az ismeretlen VPN-egyeztetéseket. A megfigyelésnek ki kell terjednie a környező identitáskezelési, végpont- és hálózati rendszerekre is, mivel az átjáró sikeres kompromittálása további tevékenység belépési pontjaként szolgálhat.
Előzetesen azonosítani kell azokat a hitelesítő adatokat és tanúsítványokat, amelyekhez egy potenciálisan veszélyeztetett eszköz hozzáférhet. Ha később bizonyíték merül fel arra, hogy a rendszert kompromittálták, az incidenskezelésnek a javítás telepítésén túl a tanúsítványok visszavonására, a hitelesítő adatok cseréjére, a konfiguráció ellenőrzésére és a kapcsolódó hálózatok vizsgálatára is ki kell terjednie.
A szervezeteknek végül azt is biztosítaniuk kell, hogy a biztonsági átjárókat ne lehessen közvetlenül a nyilvános internetről adminisztrálni, hacsak ezt dokumentált működési követelmény nem indokolja. A felügyeleti interfészeket dedikált adminisztrációs hálózatokra vagy jóváhagyott jump hostokra kell korlátozni, erős hitelesítéssel kell védeni, a rendellenes hozzáférési kísérleteket pedig folyamatosan figyelni kell.
A közvetlen prioritás egyértelmű: telepíteni kell a Check Point védelmi frissítéseit, ellenőrizni kell azok sikeres aktiválását, és csökkenteni kell a szükségtelen hálózati kitettséget. Bár aktív kihasználást egyelőre nem erősítettek meg, a hálózati perem biztonsági infrastruktúráját érintő két, hitelesítés nélküli távoli kódfuttatási sérülékenység alig hagy teret a késlekedésre.
