Check Point behebt zwei kritische VPN-Zertifikatslücken, die Remotecodeausführung ohne Authentifizierung ermöglichen

Check Point hat am 9. September 2026 zwei kritische Schwachstellen in der Zertifikatsverarbeitung veröffentlicht und noch am selben Tag mit der Verteilung von Schutzmaßnahmen begonnen. Beide Sicherheitslücken haben einen CVSS-Wert von 9,8 und könnten es nicht authentifizierten Angreifern ermöglichen, aus der Ferne Code auf betroffenen Sicherheitssystemen auszuführen.

Das Unternehmen erklärt, für eine Ausnutzung seien „spezifische Bedingungen“ erforderlich, erläutert aber nicht, welche. Check Point hat beide Schwachstellen intern entdeckt und keine Hinweise auf Angriffe gefunden, die diese Lücken ausnutzen.

Es wurden keine Indikatoren für eine Kompromittierung (Indicators of Compromise, IOCs) veröffentlicht.

Zwei Zertifikatslücken gefährden Gateways und Managementsysteme

Die erste Schwachstelle, CVE-2026-85102, betrifft eine unzureichende Validierung der Zertifikatsvertrauensstellung während der VPN-Aushandlung. Eine erfolgreiche Ausnutzung kann zu nicht authentifizierter Remotecodeausführung auf einer Check Point Security Gateway führen.

Die zweite, CVE-2026-85103, ist ein heapbasierter Pufferüberlauf in dem Code, der die ASN.1-Struktur eines VPN-Zertifikats dekodiert. Sie betrifft Systeme der Produktreihen Quantum Security Management und Quantum Security Gateway und kann ebenfalls zu nicht authentifizierter Remotecodeausführung führen.

Für beide Schwachstellen gelten folgende Bewertungsdaten:

• CVSS-Score: 9,8
• CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Dieser Vektor beschreibt einen über das Netzwerk erreichbaren Angriff, der weder Berechtigungen noch Benutzerinteraktion erfordert und potenziell vollständige Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit haben kann. Check Point hat die Kennungen und Bewertungen vergeben. Für keine der beiden Schwachstellen wurden CWE-Klassifizierungen veröffentlicht.

Die technischen Angriffspfade unterscheiden sich. CVE-2026-85102 betrifft die Frage, ob das Gateway einem während der VPN-Aushandlung vorgelegten Zertifikat korrekt vertraut. CVE-2026-85103 zielt dagegen auf die Speicherbehandlung ab, während das System ASN.1-codierte Zertifikatsdaten analysiert.

Letztere ist möglicherweise nicht auf Systeme beschränkt, auf denen das VPN-Software-Blade aktiviert ist. Ein Mitarbeiter von Check Point teilte Kunden mit, die Zertifikatsverarbeitung könne theoretisch eine Umgebung exponieren, in der VPN-Zertifikate vorhanden sind, selbst wenn das Blade selbst deaktiviert ist.

Check Point hat nicht offengelegt, ob ein Angreifer eine erreichbare VPN-Schnittstelle, eine speziell konfigurierte Zertifikatskette oder eine andere bereitstellungsspezifische Voraussetzung benötigt. Das Unternehmen hat außerdem weder Proof-of-Concept-Code noch Details auf Paketebene veröffentlicht.

Builds der Versionen R81.20, R82 und R82.10 sind betroffen

Die Aufzeichnungen von Check Point nennen für beide Schwachstellen dieselbe Liste betroffener Versionen:

Produktzweig	Betroffener Jumbo-Hotfix-Stand
R82.10	Take 43 oder niedriger
R82	Take 125 oder niedriger
R81.20	Take 165 oder niedriger

Diese Nummern kennzeichnen betroffene Releases, nicht die ersten bereinigten Jumbo-Hotfix-Builds. Check Point hat nicht angegeben, welche Jumbo-Hotfix-Takes die dauerhaften Korrekturen enthalten.

Die Aufzeichnungen beziehen sich nur auf diese drei Quantum-Zweige. Sie enthalten keine Versionsinformationen für ältere Releases oder andere Produktfamilien.

Ein Advisory des Canadian Center for Cyber Security nannte eine breitere Produktgruppe, ohne betroffene Versionen zu nennen:

• Security Gateway
• Security Management Server
• Spark Firewall mit Site-to-Site- oder Remote-Access-VPN
• Spark Firewall ohne diese genannte VPN-Bedingung

Die doppelten Spark-Firewall-Einträge lassen unklar, in welchem Umfang das Produkt betroffen ist. Check Point hat nicht benannt, welche Spark-Modelle, Firmware-Versionen oder Bereitstellungsmodi verwundbar sind. Auch die Versionen des Security Management Server sind außerhalb der Informationen zu den Quantum-Zweigen nicht näher spezifiziert.

Diese Lücke ist besonders für Nutzer von R81.10 relevant. Zwei Kunden, die diesen Zweig betreiben, berichteten, dass ihnen weder ein Jumbo-Hotfix noch ein Live Patch zur Verfügung stand; ihnen blieb nur der im Advisory beschriebene Mitigationsweg.

Live Patch wird verteilt, Builds mit dauerhafter Korrektur bleiben aber ungenannt

Check Point bietet über die Advisories sk1000117 und sk1000118 zwei Behebungswege an.

Der erste ist der Check Point Live Patch, dessen Rollout am 9. September 2026 begann. Systeme, die den Dienst nutzen, sollten den Schutz automatisch erhalten, sobald die Bereitstellung sie erreicht.

Ein Mitarbeiter von Check Point erklärte, der Live Patch könne auf jedem Jumbo-Hotfix-Stand von R81.20, R82.00 und R82.10 installiert werden. Dies waren die einzigen Versionen, die in dieser Aussage genannt wurden. Die dortige Bezeichnung R82.00 weicht von der Benennung R82 in der Tabelle der betroffenen Versionen ab; eine weitere Klarstellung wurde nicht gegeben.

Die zweite Option besteht darin, den neuesten Jumbo-Hotfix für die eingesetzte Version zu installieren, sobald Check Point ihn bereitstellt. Da das Unternehmen nicht den ersten korrigierten Take für jeden Zweig genannt hat, sollten Administratoren nicht davon ausgehen, dass es ausreicht, nur knapp über die betroffenen Schwellenwerte zu wechseln, ohne das jeweilige Advisory zu prüfen.

Nutzer ohne verfügbaren Patch erhalten weniger klare Handlungsempfehlungen. Ein R81.10-Kunde gab an, die Mitigation scheine das Deaktivieren impliziter VPN-Regeln zu erfordern, erläuterte jedoch nicht, welche Konfigurationszeilen geändert werden müssen. Ein anderer fragte, wie sich die Mitigation anwenden lasse, ohne Remote-Nutzer zu beeinträchtigen. Keine der beiden Fragen wurde beantwortet.

Administratoren sollten daher den Live Patch bevorzugen, wo er unterstützt wird, und sk1000117 sowie sk1000118 auf zweigspezifische Informationen zu Jumbo-Hotfixes beobachten. Änderungen an impliziten VPN-Regeln sollten sorgfältig getestet werden, da sie die Remote-Access- oder Site-to-Site-Konnektivität unterbrechen könnten.

Kunden melden verzögerte Updates und defekte Advisory-Links

Der erste Rollout verlief nicht einheitlich. Fünf verschiedene Kundenkonten meldeten, dass ihre Gateways am Tag der Ankündigung noch auf Take 17 oder Take 18 des dringenden Sicherheitsupdate-Pakets standen.

Ein Update-Protokoll zeigte Take 18 installiert am 1. September 2026, ohne dass ein späteres Paket sichtbar war. Das belegt nicht, dass das System weiterhin verwundbar war, zeigt aber, warum Administratoren den tatsächlichen Patch-Stand prüfen sollten, statt anzunehmen, dass die automatische Verteilung abgeschlossen ist.

Mehrere Kunden gaben außerdem an, dass Download-Links in den beiden Security Advisories nicht funktionierten. Mitarbeiter von Check Point antworteten, die Links seien erfolgreich getestet worden, auch wenn ein Kunde später in zwei Browsern Fehler meldete. Der entsprechende Link im Live-Patch-Artikel blieb Berichten zufolge funktionsfähig.

Organisationen, die den automatischen Rollout nutzen, sollten bestätigen, dass der relevante Schutz auf jedem Gateway und Managementserver installiert ist. Ein konfigurierter Live-Patch-Dienst ist nicht dasselbe wie eine abgeschlossene Bereitstellung.

Keine aktive Ausnutzung bekannt, aber keine veröffentlichten IOCs für Verteidiger

Check Point gibt an, keine externe Ausnutzung einer der beiden Schwachstellen beobachtet zu haben. Das Unternehmen hat keine Indikatoren für eine Kompromittierung veröffentlicht und begründet dies damit, dass IOCs dann anwendbar sind, wenn ein Exploit und zugehörige Angriffsaktivitäten beobachtet wurden.

Folglich gibt es keine vom Hersteller bereitgestellten IP-Adressen, Datei-Hashes, Prozessnamen, Protokollmuster oder Netzwerksignaturen, nach denen Verteidiger suchen könnten. Das Fehlen von IOCs sollte nicht als Beleg dafür interpretiert werden, dass eine aus dem Internet erreichbare Appliance sicher ist.

Es ist außerdem unbekannt, ob die Anwendung des Live Patch oder eines Jumbo-Hotfix Zugriffe entfernen würde, die ein Angreifer bereits erlangt hat. Das Patchen schließt den verwundbaren Pfad, aber Check Point hat nicht erklärt, dass die Behebung ein Zurücksetzen von Anmeldedaten, eine Invalidierung von Sitzungen, Persistenzprüfungen oder forensische Datenerfassung umfasst.

Der Status von CVE-2026-85102 und CVE-2026-85103 im Katalog „Known Exploited Vulnerabilities“ (KEV) der CISA ist aus den veröffentlichten Datensätzen nicht ersichtlich. Somit gibt es für keine der beiden neuen Kennungen ein bestätigtes KEV-Aufnahmedatum oder eine Behebungsfrist für US-Bundesbehörden.

Frühere Check-Point-Schwachstellen wurden aktiv ausgenutzt

Die Veröffentlichungen folgen auf zwei frühere Authentifizierungs- und Zertifikatsvalidierungsschwachstellen von Check Point, die in den KEV-Katalog der CISA aufgenommen wurden.

CVE-2026-50751 mit einem CVSS-Wert von 9,3 betrifft die Zertifikatsvalidierung in veralteten IKEv1-Workflows für Remote Access und Mobile Access. Sie ermöglicht es einem nicht authentifizierten Angreifer, die Passwortauthentifizierung zu umgehen und eine Remote-Access-VPN-Verbindung aufzubauen.

Die CISA nahm sie am 8. Juni 2026 in den KEV-Katalog auf; für US-Bundesbehörden galt eine Behebungsfrist bis zum 11. Juni 2026. Die Schwachstelle wurde in Ransomware-Kampagnen ausgenutzt. Die CISA forderte Organisationen auf, Hersteller-Mitigations anzuwenden, die geltenden Cloud-Vorgaben gemäß BOD 22-01 zu befolgen oder betroffene Produkte außer Betrieb zu nehmen, wenn keine Mitigation verfügbar war.

CVE-2026-16232 mit einem CVSS-Wert von 9,8 ermöglicht es einem nicht authentifizierten Angreifer, ein SmartConsole-Anwendungstoken zu erlangen und sich mit vollständigen administrativen Berechtigungen zu authentifizieren. Für die Remotenutzung sind ein Internetzugang zum Management Server und eine Konfiguration erforderlich, die Trusted Clients nicht einschränkt.

Die CISA nahm diese Schwachstelle am 22. Juli 2026 in den KEV-Katalog auf und setzte für Bundesbehörden eine Behebungsfrist bis zum 25. Juli 2026. Check Point räumte eine Ausnutzung ein, die eine sehr kleine Zahl von Kunden betraf. Die CISA verlangte Hersteller-Mitigations sowie risikobasiertes Patchen und forensische Triage gemäß BOD 26-04.

CVE-2026-85103 betrifft erneut die Funktionalität des Security Management Server und ordnet die jüngste Veröffentlichung damit in eine Reihe schwerwiegender Check-Point-Schwachstellen der letzten Zeit ein, statt in einen isolierten Gateway-Bug. Anders als in den früheren Fällen gibt es für die beiden neuen Schwachstellen derzeit jedoch keine gemeldete Ausnutzung und keine handlungsrelevanten IOCs.