Check Point corregge due vulnerabilità critiche nei certificati VPN che consentono RCE non autenticata

Il 9 settembre 2026 Check Point ha divulgato due vulnerabilità critiche nell'elaborazione dei certificati e ha avviato la distribuzione delle protezioni lo stesso giorno. Entrambe presentano un punteggio CVSS di 9,8 e potrebbero consentire a attaccanti non autenticati di eseguire codice in remoto sui sistemi di sicurezza interessati.

L'azienda afferma che lo sfruttamento richiede «condizioni specifiche», ma non ha spiegato di quali condizioni si tratti. Check Point ha scoperto entrambe le vulnerabilità internamente e non ha trovato prove di attacchi che le sfruttino.

Non sono stati rilasciati indicatori di compromissione.

Due vulnerabilità nei certificati espongono gateway e sistemi di gestione

La prima vulnerabilità, CVE-2026-85102, riguarda una validazione insufficiente dell'attendibilità del certificato durante la negoziazione VPN. Lo sfruttamento riuscito può portare all'esecuzione di codice in remoto non autenticata su un Check Point Security Gateway.

La seconda, CVE-2026-85103, è un buffer overflow basato sull'heap nel codice che decodifica la struttura ASN.1 di un certificato VPN. Colpisce i sistemi Quantum Security Management e Quantum Security Gateway e può anch'essa portare all'esecuzione di codice in remoto non autenticata.

Entrambe le vulnerabilità presentano i seguenti dati di gravità:

• Punteggio CVSS: 9,8
• Vettore CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Il vettore descrive un attacco raggiungibile via rete che non richiede privilegi né interazione dell'utente, con effetti potenzialmente completi su riservatezza, integrità e disponibilità. Check Point ha assegnato gli identificativi e i punteggi. Non sono state pubblicate classificazioni CWE per nessuna delle due vulnerabilità.

I percorsi tecnici differiscono. CVE-2026-85102 riguarda il fatto che il gateway stabilisca o meno correttamente l'attendibilità di un certificato presentato durante la negoziazione VPN. CVE-2026-85103 riguarda invece la gestione della memoria durante l'analisi dei dati del certificato codificati in ASN.1.

Quest'ultima potrebbe non limitarsi ai sistemi con il VPN Software Blade abilitato. Un dipendente di Check Point ha comunicato ai clienti che l'elaborazione dei certificati potrebbe teoricamente esporre un ambiente in cui sono presenti certificati VPN, anche se il blade stesso è disabilitato.

Check Point non ha comunicato se un attaccante necessiti di un'interfaccia VPN raggiungibile, di una catena di certificati configurata in modo specifico o di un altro prerequisito legato al deployment. Non ha inoltre pubblicato codice di proof-of-concept né dettagli a livello di pacchetto.

Le versioni R81.20, R82 e R82.10 sono interessate

I dati di Check Point indicano lo stesso elenco di versioni interessate per entrambe le vulnerabilità:

Branch di prodotto	Livello Jumbo Hotfix interessato
R82.10	Take 43 o inferiore
R82	Take 125 o inferiore
R81.20	Take 165 o inferiore

Questi numeri identificano i rilasci interessati, non i primi build Jumbo Hotfix corretti. Check Point non ha specificato quali Take dei Jumbo Hotfix contengano le correzioni definitive.

I dati coprono solo quei tre branch di Quantum. Non forniscono informazioni sulle versioni per i rilasci precedenti o per altre famiglie di prodotti.

Un advisory del Canadian Center for Cyber Security ha indicato un gruppo più ampio di prodotti senza identificare le versioni interessate:

• Security Gateway
• Security Management Server
• Spark Firewall con VPN Site-to-Site o Remote Access
• Spark Firewall senza la condizione VPN indicata

Le voci duplicate di Spark Firewall lasciano poco chiaro il livello di esposizione del prodotto. Check Point non ha identificato quali modelli Spark, versioni di firmware o modalità di deployment siano vulnerabili. Anche le versioni di Security Management Server risultano non specificate al di fuori delle informazioni sul branch Quantum.

Questa lacuna è particolarmente rilevante per gli utenti di R81.10. Due clienti che utilizzano quel branch hanno segnalato che non era disponibile né un Jumbo Hotfix né un Live Patch, lasciando come unica opzione la mitigazione indicata nell'advisory.

Il Live Patch è in fase di distribuzione, ma i build con la correzione definitiva non sono ancora specificati

Check Point offre due percorsi di rimedio attraverso gli advisory sk1000117 e sk1000118.

Il primo è Check Point Live Patch, la cui distribuzione è iniziata il 9 settembre 2026. I sistemi che utilizzano il servizio dovrebbero ricevere la protezione automaticamente man mano che la distribuzione li raggiunge.

Un dipendente di Check Point ha comunicato che il Live Patch può essere installato su qualsiasi livello di Jumbo Hotfix per R81.20, R82.00 ed R82.10. Queste erano le uniche versioni citate in quella comunicazione. L'uso di R82.00 in quel contesto differisce dalla denominazione R82 presente nella tabella delle versioni interessate, e non è stata fornita alcuna ulteriore chiarificazione.

La seconda opzione consiste nell'installare l'ultimo Jumbo Hotfix per il rilascio in uso non appena Check Point lo renda disponibile. Poiché l'azienda non ha indicato il primo Take corretto per ciascun branch, gli amministratori non devono dare per scontato che superare di poco le soglie interessate sia sufficiente senza consultare l'advisory corrispondente.

Gli utenti senza una patch disponibile si trovano di fronte a indicazioni meno certe. Un cliente con R81.10 ha segnalato che la mitigazione sembrava richiedere la disabilitazione delle regole VPN implicite, ma non ha spiegato quali righe di configurazione dovessero essere modificate. Un altro ha chiesto come applicare la mitigazione senza interrompere gli utenti remoti. Nessuna delle due domande ha ricevuto risposta.

Gli amministratori dovrebbero quindi dare priorità al Live Patch dove supportato e monitorare sk1000117 e sk1000118 per informazioni sui Jumbo Hotfix specifici per branch. Le modifiche alle regole VPN implicite vanno testate con attenzione perché potrebbero interrompere la connettività di accesso remoto o site-to-site.

I clienti segnalano aggiornamenti in ritardo e link degli advisory non funzionanti

La distribuzione iniziale non è stata uniforme. Cinque diversi account clienti hanno segnalato che i propri gateway sono rimasti al Take 17 o al Take 18 del pacchetto di aggiornamento di sicurezza urgente il giorno dell'annuncio.

Un log di aggiornamento mostrava il Take 18 installato il 1° settembre 2026, senza pacchetti successivi visibili. Questo non stabilisce che il sistema fosse ancora vulnerabile, ma illustra il motivo per cui gli amministratori dovrebbero verificare lo stato effettivo della patch invece di dare per scontato che la distribuzione automatica sia completata.

Diversi clienti hanno inoltre segnalato che i link di download nei due advisory di sicurezza non funzionavano. Il personale di Check Point ha risposto che i link erano stati testati con successo, anche se un cliente ha successivamente segnalato errori in due browser. Il link corrispondente nell'articolo sul Live Patch risultava invece funzionante.

Le organizzazioni che utilizzano la distribuzione automatica dovrebbero confermare che la protezione pertinente sia installata su ogni gateway e server di gestione. Un servizio Live Patch configurato non equivale a un deployment completato.

Non risultano sfruttamenti, ma i difensori non hanno IOC pubblicati

Check Point dichiara di non aver rilevato sfruttamenti esterni di nessuna delle due vulnerabilità. L'azienda non ha rilasciato indicatori di compromissione, spiegando che gli IOC si applicano quando sono stati osservati uno sfruttamento e la relativa attività di attacco.

Di conseguenza, non ci sono indirizzi IP, hash di file, nomi di processo, pattern di log o firme di rete forniti dal vendor che i difensori possano cercare. L'assenza di IOC non va interpretata come prova che un appliance esposto a Internet sia al sicuro.

Non è inoltre noto se l'applicazione del Live Patch o di un Jumbo Hotfix rimuova un accesso già ottenuto da un attaccante. L'applicazione della patch chiude la via di vulnerabilità, ma Check Point non ha comunicato che il rimedio esegua reset delle credenziali, invalidazione delle sessioni, controlli di persistenza o raccolta forense.

Lo stato nel catalogo Known Exploited Vulnerabilities della CISA per CVE-2026-85102 e CVE-2026-85103 non è disponibile nei record pubblicati. Non esiste quindi una data di ingresso confermata nel KEV né una scadenza federale di rimedio per nessuno dei due nuovi identificativi.

Vulnerabilità precedenti di Check Point erano sfruttate attivamente

Le divulgazioni seguono due precedenti vulnerabilità di Check Point relative ad autenticazione e validazione dei certificati, entrate nel catalogo KEV della CISA.

CVE-2026-50751, con punteggio 9,3, riguarda la validazione dei certificati nei flussi deprecati di IKEv1 Remote Access e Mobile Access. Consente a un attaccante non autenticato di aggirare l'autenticazione tramite password e stabilire una connessione VPN di accesso remoto.

La CISA l'ha aggiunta al KEV l'8 giugno 2026, con una scadenza di rimedio fissata all'11 giugno 2026 per le agenzie federali statunitensi. La vulnerabilità è stata utilizzata in campagne di ransomware. La CISA ha ordinato alle organizzazioni di applicare le mitigazioni del vendor, seguire le indicazioni cloud applicabili della BOD 22-01 o interrompere l'uso dei prodotti interessati quando la mitigazione non era disponibile.

CVE-2026-16232, con punteggio 9,8, consente a un attaccante non autenticato di ottenere un token applicativo SmartConsole e autenticarsi con privilegi amministrativi completi. Lo sfruttamento in remoto richiede l'accesso via Internet al Management Server e una configurazione che non limita i Trusted Clients.

La CISA ha aggiunto quella vulnerabilità al KEV il 22 luglio 2026, fissando una scadenza federale di rimedio al 25 luglio 2026. Check Point ha riconosciuto sfruttamenti che hanno colpito un numero molto ristretto di clienti. La CISA ha richiesto le mitigazioni del vendor insieme al patching basato sul rischio della BOD 26-04 e alle indicazioni di triage forense.

CVE-2026-85103 colpisce nuovamente le funzionalità del Security Management Server, inserendo l'ultima divulgazione in una recente serie di vulnerabilità ad alto impatto di Check Point anziché un bug isolato dei gateway. A differenza dei casi precedenti, tuttavia, le due nuove vulnerabilità non presentano al momento sfruttamenti segnalati né IOC utilizzabili.