Check Point ha corretto due vulnerabilità critiche nelle funzioni VPN dei propri Security Gateway: CVE-2026-85102 e CVE-2026-85103, entrambe con punteggio CVSS 9,8. In determinate configurazioni un attaccante remoto non autenticato può arrivare all’esecuzione di codice sull’appliance, quindi chi usa Remote Access VPN o Site-to-Site VPN deve verificare subito versione e livello di patch.
Le falle sono state divulgate il 9 settembre 2026 e il CERT-EU ha pubblicato un avviso critico il 10 settembre. Check Point indica di averle scoperte internamente e, al momento della comunicazione, non segnalava evidenze di sfruttamento attivo. Questo non riduce la priorità della correzione: un gateway VPN è un componente perimetrale e una vulnerabilità pre-authentication con impatto RCE va trattata come urgente.
| Voce | CVE-2026-85102 | CVE-2026-85103 |
|---|---|---|
| Gravità | CVSS 9,8 Critical | CVSS 9,8 Critical |
| Componente | Negoziazione VPN / validazione certificati | Decodifica ASN.1 dei certificati VPN |
| Impatto | Esecuzione di codice da remoto | Esecuzione di codice da remoto |
| Autenticazione richiesta | No | No |
| Sistemi da verificare | Security Gateway con VPN interessata | Security Gateway e Security Management Server interessati |
CVE-2026-85102: cosa succede nella negoziazione VPN
Secondo il CERT-EU, CVE-2026-85102 è una vulnerabilità di validazione impropria dei dati del certificato nel flusso di negoziazione VPN di Check Point Security Gateway. Un attaccante remoto può inviare dati appositamente costruiti prima di autenticarsi e, se il sistema è vulnerabile e configurato nelle condizioni interessate, ottenere esecuzione di codice.
Il requisito operativo da controllare è la presenza di Remote Access VPN o Site-to-Site VPN. Non basta quindi sapere di avere un prodotto Check Point: bisogna verificare quali blade e servizi sono realmente attivi e quale release è installata.
CVE-2026-85103: heap overflow nella decodifica ASN.1
CVE-2026-85103 riguarda invece un heap overflow nella decodifica ASN.1 dei certificati usati dal flusso VPN. Anche qui l’impatto massimo indicato è l’esecuzione di codice da remoto senza autenticazione.
La differenza importante è che il CERT-EU include tra i sistemi da correggere non soltanto i Security Gateway ma anche i Security Management Server interessati. Per questo un inventario limitato ai soli firewall esposti rischia di lasciare fuori componenti che devono comunque ricevere la correzione.
Quali versioni Check Point vanno controllate
L’avviso CERT-EU elenca numerosi rami, inclusi R81.10.X, R81.20, R82, R82.00.X e R82.10, oltre a release più vecchie ormai fuori supporto. Sono citati Security Gateway, Security Management Server e Spark Firewall nelle configurazioni pertinenti.
La presenza di una release nell’elenco non significa che ogni appliance sia sfruttabile nello stesso modo: configurazione VPN e componente coinvolto cambiano le precondizioni. Tuttavia la decisione sulla patch non va presa cercando di scommettere sull’esposizione. Se il prodotto rientra nel bollettino, confronta la build installata con le indicazioni ufficiali Check Point per CVE-2026-85102 e CVE-2026-85103.
Come correggere le due vulnerabilità
Check Point raccomanda di installare il Jumbo Hotfix aggiornato per la release utilizzata. Per i sistemi idonei è disponibile anche la protezione tramite Check Point LivePatch, distribuita dal 9 settembre, che permette di applicare la correzione senza attendere una normale finestra di aggiornamento completa.
- Inventaria gateway e server di gestione: annota release e build reali, non soltanto il modello dell’appliance.
- Controlla la configurazione VPN: verifica Remote Access VPN, Site-to-Site VPN e i componenti di gestione coinvolti.
- Consulta le SK ufficiali: usa sk1000117 e sk1000118 per individuare la correzione adatta al tuo ramo.
- Installa Jumbo Hotfix o LivePatch supportata: evita pacchetti provenienti da fonti non ufficiali.
- Verifica dopo l’intervento: controlla che patch e build risultino effettivamente applicate su tutti i nodi, inclusi cluster e management server.
LivePatch basta da sola?
LivePatch è una strada supportata da Check Point per ridurre rapidamente l’esposizione dove disponibile, ma va verificato lo stato reale della protezione sul singolo sistema. Non bisogna assumere che l’esistenza della funzione significhi automaticamente che ogni appliance l’abbia già ricevuta o attivata.
Se il tuo ambiente usa un processo di change management, la priorità è coordinare la correzione senza lasciare fuori nodi secondari, management server o appliance meno visibili. Un cluster protetto a metà resta un inventario incompleto, non una remediation conclusa.
Serve cercare segnali di compromissione?
Al momento della divulgazione Check Point ha dichiarato di non avere indicazioni di sfruttamento attivo. È una differenza importante rispetto a vulnerabilità già inserite in campagne reali, come la falla WatchGuard Firebox che abbiamo analizzato nell’articolo su CVE-2025-14733 usata nei ransomware.
Questo però non rende inutile il controllo dei log. Su appliance esposte è ragionevole verificare crash anomali dei servizi VPN, riavvii inattesi, eventi insoliti di negoziazione certificati e modifiche non autorizzate alla configurazione. L’assenza di indicatori pubblici di exploit non equivale alla prova che un sistema non sia mai stato raggiunto.
Check Point, WatchGuard e NetScaler: perché il cluster è lo stesso
Negli ultimi giorni più vendor hanno corretto vulnerabilità critiche in dispositivi che stanno sul perimetro della rete. Oltre al caso WatchGuard, abbiamo seguito anche CVE-2026-19490 su NetScaler ADC e Gateway. Prodotti e bug sono diversi, ma la regola operativa è la stessa: le appliance che terminano VPN, autenticazione o traffico esterno devono avere una priorità di patch superiore rispetto a sistemi non esposti.
FAQ su CVE-2026-85102 e CVE-2026-85103
Le due falle sono già sfruttate negli attacchi?
Check Point ha dichiarato, al momento della divulgazione del 9 settembre 2026, di non avere indicazioni di sfruttamento attivo. La gravità resta comunque critica perché entrambe possono portare a esecuzione di codice da remoto senza autenticazione nelle configurazioni interessate.
Chi usa Check Point senza VPN è al sicuro?
Le precondizioni cambiano tra le due CVE e i componenti coinvolti. Non basta quindi una risposta generica: controlla il bollettino relativo alla tua release, la configurazione dei Security Gateway e lo stato dei Security Management Server.
Qual è la soluzione consigliata?
Installare il Jumbo Hotfix indicato da Check Point per la propria release oppure, sui sistemi supportati, verificare l’applicazione della LivePatch distribuita dal vendor. Dopo l’intervento va controllato che ogni nodo risulti realmente protetto.
Se gestisci un ambiente Check Point, il controllo da fare ora è quindi molto concreto: individua tutti i gateway e management server interessati, confronta la build con le SK ufficiali e applica la correzione senza aspettare che compaiano prove di sfruttamento pubblico.
