CVE-2026-85102: vulnerabilidad crítica en las VPN de Check Point, ya explotada

CVE-2026-85102: vulnerabilidad crítica en las VPN de Check Point, ya explotada

En corto

Se ha confirmado una vulnerabilidad crítica (CVE-2026-85102) en el Security Gateway de Check Point, con una puntuación CVSS de 9.8 sobre 10 [1] y publicada el 9 de septiembre de 2026 [1]. El fallo está incluido en el catálogo CISA KEV de vulnerabilidades con explotación conocida [2], lo que significa que no es un riesgo teórico: ya se ha usado contra organizaciones reales. Si tu empresa usa equipos Check Point para VPN de acceso remoto o conexiones entre sedes, la prioridad hoy es revisar si tienes versiones vulnerables expuestas y aplicar el parche del fabricante sin demora.

Qué es y por qué importa

El problema reside en una validación incorrecta de la confianza de certificados durante la negociación de la conexión VPN [1]. En la práctica, esto puede permitir que un atacante remoto, sin necesidad de credenciales ni autenticación previa, llegue a ejecutar código arbitrario en el propio gateway [1]. Dicho de otro modo: no haría falta robar una contraseña ni engañar a un empleado, bastaría con contactar con el equipo expuesto a internet para intentar comprometerlo.

La combinación de tres factores es lo que eleva la urgencia: severidad crítica según NVD [1], ausencia de autenticación requerida [1] y presencia confirmada en el listado CISA KEV de vulnerabilidades explotadas activamente [2]. Los gateways VPN son, por diseño, equipos pensados para estar accesibles desde internet, lo que los convierte en un objetivo especialmente atractivo cuando aparece un fallo de este tipo.

A quién afecta

El fabricante afectado es Check Point [1], y la descripción oficial señala de forma explícita al Quantum Security Gateway [1]. Según el análisis del radar de OCIRIA, este tipo de fallo en la capa de negociación VPN podría afectar también a otros equipos de la misma familia de producto, como el firewall Spark, al compartir componentes de gestión de certificados y VPN [3]; se trata de una valoración de riesgo propia, no de un dato confirmado directamente por el fabricante o por NVD, por lo que recomendamos tratarla como hipótesis de trabajo mientras se verifica el inventario real.

En cuanto al tipo de organización en riesgo: cualquier empresa que utilice gateways Check Point para VPN Site-to-Site (conexión entre sedes o con proveedores) o VPN de acceso remoto (teletrabajo) debería considerarse potencialmente expuesta hasta confirmar lo contrario, dado que ambos son los escenarios de uso habituales de este tipo de equipos según el análisis de OCIRIA [3].

Cómo saber si eres vulnerable

No existe una forma sencilla de "verlo a simple vista" desde dentro de la oficina: hay que mirar desde fuera, como lo haría un atacante. Los pasos razonables son:

1. Inventariar qué equipos Check Point tiene la organización y qué versión de firmware ejecutan.

2. Comprobar la superficie expuesta a internet: qué puertos y servicios VPN son visibles desde fuera de la red corporativa, ya que son el punto de entrada que explota este tipo de fallo.

3. Revisar los registros (logs) de negociación de certificados en los gateways, buscando intentos de conexión anómalos o rechazos de certificado inusuales, dado que el fallo se produce precisamente en esa fase [3].

4. Contrastar la versión instalada con el aviso oficial del fabricante, que es quien determina con precisión qué builds concretas están afectadas.

Cómo proteger tu empresa

• Parchea con prioridad máxima los gateways y firewalls Check Point en cuanto el fabricante publique o confirme la actualización correspondiente; al estar en el catálogo CISA KEV, se trata de una vulnerabilidad que ya se explota, no de una advertencia preventiva [2].
• Audita las conexiones VPN activas, tanto de acceso remoto como Site-to-Site, buscando sesiones o IPs de origen que no reconozcas [3].
• Revisa los logs de certificados de los últimos días para detectar posibles intentos de explotación anteriores al parcheo [3].
• Reduce la exposición mientras no esté parcheado: si es posible, restringe temporalmente el acceso al servicio VPN a rangos de IP conocidos o activa capas adicionales de autenticación.
• Documenta el inventario de todos los equipos de la familia de producto afectada, incluyendo los que el análisis de OCIRIA señala como potencialmente relacionados [3], para no dejar huecos de visibilidad.

Preguntas frecuentes

¿Es una vulnerabilidad que ya se está explotando?

Sí, está incluida en el catálogo CISA KEV, que recoge específicamente vulnerabilidades con explotación activa conocida [2].

¿Qué gravedad tiene según los estándares oficiales?

Crítica, con una puntuación CVSS de 9.8 sobre 10 [1].

¿Afecta solo al Security Gateway o también a otros equipos como el firewall Spark?

La descripción oficial del fabricante menciona el Quantum Security Gateway [1]. Según el análisis de OCIRIA, el firewall Spark podría estar también dentro del alcance por compartir componentes VPN [3], aunque esto conviene verificarlo con el propio fabricante antes de descartar o confirmar el impacto en ese equipo.

¿Necesito ser un experto técnico para entender si me afecta?

No necesariamente, pero sí necesitas saber qué equipos tienes y si están expuestos a internet; ese inventario y esa visibilidad son el primer paso, independientemente de quién lo ejecute dentro de la empresa.

Fuentes

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-85102
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json
• [3] https://ociria.com