Check Point corrige duas falhas VPN CVSS 9.8 enquanto agência holandesa de cibersegurança adverte sobre exploração iminente

O Centro Nacional de Cibersegurança dos Países Baixos (NCSC) emitiu um alerta urgente em 12 de setembro, advertindo as organizações de que duas vulnerabilidades críticas de execução remota de código nos produtos VPN da Check Point enfrentam exploração iminente, mesmo sem nenhum exploit público de prova de conceito disponível.

Ambas as falhas, rastreadas como CVE-2026-85102 e CVE-2026-85103, têm pontuação CVSS de 9,8 e não exigem autenticação para serem exploradas. Um atacante na internet poderia enviar um pacote de certificado especialmente elaborado para um Security Gateway da Check Point e obter controle total do sistema sem fazer login.

O que as vulnerabilidades fazem

CVE-2026-85102 é uma falha de validação incorreta no código de tratamento de certificados usado durante a negociação de sessão VPN. Um atacante remoto não autenticado pode acionar execução de código arbitrário no Security Gateway enviando um certificado malformado durante a fase de handshake.

CVE-2026-85103 é um transbordamento de heap no decodificador ASN.1 de certificados VPN. Este afeta não apenas Security Gateways, mas também Security Management Servers, o que significa que um atacante pode comprometer o plano de gerenciamento que controla toda a política VPN.

A Check Point publicou patches em 9 de setembro por meio dos boletins de segurança sk1000117 e sk1000118. O NCSC holandês emitiu seu aviso três dias depois, avaliando que tentativas de exploração são prováveis em breve.

Sistemas afetados

As vulnerabilidades afetam os produtos Quantum Security Gateway e Security Management da Check Point rodando as versões R81.20, R82, R82.10, R81.10.x e R82.00.x. Versões sem suporte de R80 a R80.40, R81 e R81.10 também são vulneráveis.

Organizações rodando R82.20 não são afetadas.

O que fazer agora

A Check Point recomenda instalar o LivePatch Take 24 para usuários do R81.20, R82 e R82.10. As equipes de segurança devem tratar isso como uma mudança de emergência, não como um ciclo mensal de patches de rotina.