Check Point schließt zwei kritische VPN-Lücken mit CVSS 9.8 – Niederländische Cyberbehörde warnt vor unmittelbar bevorstehender Ausnutzung

Das Nationale Cyber Security Centrum der Niederlande (NCSC) hat am 12. September eine dringende Warnung herausgegeben und Organisationen darauf hingewiesen, dass zwei kritische Remote-Code-Execution-Schwachstellen in Check Points VPN-Produkten kurz vor aktiver Ausnutzung stehen — obwohl noch kein öffentlicher Proof-of-Concept-Exploit existiert.

Beide Schwachstellen, CVE-2026-85102 und CVE-2026-85103, haben einen CVSS-Score von 9,8 und erfordern keine Authentifizierung zur Ausnutzung. Ein Angreifer im Internet könnte ein speziell präpariertes Zertifikatspaket an ein Check Point Security Gateway senden und die vollständige Systemkontrolle erlangen, ohne sich jemals anzumelden.

Was die Schwachstellen bewirken

CVE-2026-85102 ist ein fehlerhafter Validierungsfehler im Zertifikatsverarbeitungscode, der bei der VPN-Sitzungsaushandlung verwendet wird. Ein nicht authentifizierter Remote-Angreifer kann durch Senden eines fehlerhaften Zertifikats während der Handshake-Phase beliebige Code-Ausführung auf dem Security Gateway auslösen.

CVE-2026-85103 ist ein Heap-Overflow im ASN.1-Decoder für VPN-Zertifikate. Dieser betrifft nicht nur Security Gateways, sondern auch Security Management Server, was bedeutet, dass ein Angreifer potenziell die Managementebene kompromittieren könnte, die alle VPN-Richtlinien steuert.

Check Point veröffentlichte am 9. September Patches über die Sicherheitshinweise sk1000117 und sk1000118. Das niederländische NCSC gab seine Warnung drei Tage später heraus, nachdem es eingeschätzt hatte, dass Ausnutzungsversuche in naher Zukunft wahrscheinlich sind.

Betroffene Systeme

Die Schwachstellen betreffen Check Point Quantum Security Gateway- und Security Management-Produkte mit den Softwareversionen R81.20, R82, R82.10, R81.10.x und R82.00.x. End-of-Support-Versionen von R80 bis R80.40, R81 und R81.10 sind ebenfalls betroffen.

Organisationen, die R82.20 betreiben, sind nicht betroffen.

Was jetzt zu tun ist

Check Point empfiehlt die Installation von LivePatch Take 24 für Benutzer von R81.20, R82 und R82.10. Sicherheitsteams sollten dies als Notfalländerung behandeln, nicht als routinemäßigen monatlichen Patch-Zyklus.