CVE-2026-85102: Kritische Schwachstelle in Check Point VPNs bereits aktiv ausgenutzt

CVE-2026-85102: Kritische Schwachstelle in Check Point VPNs bereits aktiv ausgenutzt

In Kürze

Es wurde eine kritische Schwachstelle (CVE-2026-85102) im Security Gateway von Check Point bestätigt, mit einem CVSS-Wert von 9.8 von 10 [1] und veröffentlicht am 9. September 2026 [1]. Der Fehler ist im CISA-KEV-Katalog der Schwachstellen mit bekannter aktiver Ausnutzung gelistet [2], was bedeutet, dass es sich nicht um ein theoretisches Risiko handelt: Er wurde bereits gegen reale Organisationen eingesetzt. Wenn Ihr Unternehmen Check-Point-Geräte für Remote-Access-VPN oder Standortverbindungen nutzt, besteht die heutige Priorität darin, zu prüfen, ob verwundbare Versionen exponiert sind, und den Patch des Herstellers umgehend anzuwenden.

Was es ist und warum es wichtig ist

Das Problem liegt in einer fehlerhaften Validierung der Zertifikatsvertrauenswürdigkeit während der Aushandlung der VPN-Verbindung [1]. In der Praxis kann dies einem entfernten Angreifer – ohne Zugangsdaten oder vorherige Authentifizierung – ermöglichen, beliebigen Code direkt auf dem Gateway auszuführen [1]. Anders gesagt: Es wäre weder nötig, ein Passwort zu stehlen, noch einen Mitarbeiter zu täuschen – es würde genügen, das dem Internet ausgesetzte Gerät zu kontaktieren, um es zu kompromittieren.

Die Kombination dreier Faktoren ist es, die die Dringlichkeit erhöht: kritischer Schweregrad laut NVD [1], keine erforderliche Authentifizierung [1] und bestätigte Aufnahme in die CISA-KEV-Liste der aktiv ausgenutzten Schwachstellen [2]. VPN-Gateways sind konstruktionsbedingt Geräte, die vom Internet aus erreichbar sein sollen, was sie zu einem besonders attraktiven Ziel macht, wenn ein Fehler dieser Art auftritt.

Wen betrifft es

Der betroffene Hersteller ist Check Point [1], und die offizielle Beschreibung nennt ausdrücklich das Quantum Security Gateway [1]. Laut der Analyse des OCIRIA-Radars könnte diese Art von Fehler in der VPN-Aushandlungsschicht auch andere Geräte derselben Produktfamilie betreffen, wie etwa die Spark-Firewall, da sie Komponenten der Zertifikatsverwaltung und VPN gemeinsam nutzen [3]; dabei handelt es sich um eine eigene Risikoeinschätzung, nicht um eine direkt vom Hersteller oder von NVD bestätigte Angabe, weshalb wir empfehlen, sie als Arbeitshypothese zu behandeln, bis das tatsächliche Inventar überprüft wurde.

Was die Art der gefährdeten Organisation betrifft: Jedes Unternehmen, das Check-Point-Gateways für Site-to-Site-VPN (Verbindung zwischen Standorten oder mit Anbietern) oder Remote-Access-VPN (Homeoffice) nutzt, sollte sich bis zur Bestätigung des Gegenteils als potenziell exponiert betrachten, da beides laut der OCIRIA-Analyse die üblichen Einsatzszenarien dieser Art von Geräten sind [3].

Wie Sie feststellen, ob Sie betroffen sind

Es gibt keine einfache Möglichkeit, dies "mit bloßem Auge" aus dem Büro heraus zu erkennen: Man muss von außen schauen, so wie es ein Angreifer tun würde. Die sinnvollen Schritte sind:

1. Inventarisieren, welche Check-Point-Geräte die Organisation besitzt und welche Firmware-Version sie ausführen.

2. Die dem Internet ausgesetzte Angriffsfläche prüfen: welche Ports und VPN-Dienste von außerhalb des Unternehmensnetzwerks sichtbar sind, da sie der Einstiegspunkt sind, den diese Art von Fehler ausnutzt.

3. Die Protokolle (Logs) der Zertifikatsaushandlung auf den Gateways überprüfen, nach ungewöhnlichen Verbindungsversuchen oder ungewöhnlichen Zertifikatsablehnungen suchen, da der Fehler genau in dieser Phase auftritt [3].

4. Die installierte Version mit dem offiziellen Hersteller-Advisory abgleichen, da dieser genau bestimmt, welche konkreten Builds betroffen sind.

Wie Sie Ihr Unternehmen schützen

• Patchen Sie mit höchster Priorität die Check-Point-Gateways und -Firewalls, sobald der Hersteller das entsprechende Update veröffentlicht oder bestätigt; da sie im CISA-KEV-Katalog gelistet ist, handelt es sich um eine bereits ausgenutzte Schwachstelle, nicht um eine vorbeugende Warnung [2].
• Überprüfen Sie die aktiven VPN-Verbindungen, sowohl Remote-Access als auch Site-to-Site, und suchen Sie nach Sitzungen oder Quell-IPs, die Sie nicht erkennen [3].
• Überprüfen Sie die Zertifikatslogs der letzten Tage, um mögliche Ausnutzungsversuche vor dem Patchen zu erkennen [3].
• Reduzieren Sie die Exposition, solange nicht gepatcht wurde: Beschränken Sie, falls möglich, den Zugriff auf den VPN-Dienst vorübergehend auf bekannte IP-Bereiche oder aktivieren Sie zusätzliche Authentifizierungsebenen.
• Dokumentieren Sie das Inventar aller Geräte der betroffenen Produktfamilie, einschließlich derer, die die OCIRIA-Analyse als potenziell verwandt einstuft [3], um keine Lücken in der Sichtbarkeit zu lassen.

Häufig gestellte Fragen

Handelt es sich um eine Schwachstelle, die bereits ausgenutzt wird?

Ja, sie ist im CISA-KEV-Katalog gelistet, der speziell Schwachstellen mit bekannter aktiver Ausnutzung erfasst [2].

Wie schwerwiegend ist sie laut den offiziellen Standards?

Kritisch, mit einem CVSS-Wert von 9.8 von 10 [1].

Betrifft es nur das Security Gateway oder auch andere Geräte wie die Spark-Firewall?

Die offizielle Beschreibung des Herstellers nennt das Quantum Security Gateway [1]. Laut der Analyse von OCIRIA könnte die Spark-Firewall ebenfalls im Geltungsbereich liegen, da sie VPN-Komponenten gemeinsam nutzt [3], auch wenn dies beim Hersteller selbst überprüft werden sollte, bevor die Auswirkung auf dieses Gerät ausgeschlossen oder bestätigt wird.

Muss ich technischer Experte sein, um zu verstehen, ob ich betroffen bin?

Nicht unbedingt, aber Sie müssen wissen, welche Geräte Sie besitzen und ob sie dem Internet ausgesetzt sind; dieses Inventar und diese Sichtbarkeit sind der erste Schritt, unabhängig davon, wer ihn im Unternehmen durchführt.

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-85102
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json
• [3] https://ociria.com