CVE-2026-85102: vulnerabilità critica nelle VPN di Check Point, già sfruttata attivamente

CVE-2026-85102: vulnerabilità critica nelle VPN di Check Point, già sfruttata

In breve

È stata confermata una vulnerabilità critica (CVE-2026-85102) nel Security Gateway di Check Point, con un punteggio CVSS di 9.8 su 10 [1] e pubblicata il 9 settembre 2026 [1]. Il difetto è incluso nel catalogo CISA KEV delle vulnerabilità con exploit noto [2], il che significa che non è un rischio teorico: è già stato utilizzato contro organizzazioni reali. Se la tua azienda utilizza apparati Check Point per VPN ad accesso remoto o connessioni tra sedi, la priorità oggi è verificare se hai versioni vulnerabili esposte e applicare la patch del produttore senza indugio.

Cos'è e perché è importante

Il problema risiede in una convalida errata della fiducia dei certificati durante la negoziazione della connessione VPN [1]. In pratica, questo può consentire a un attaccante remoto, senza bisogno di credenziali né autenticazione preventiva, di arrivare a eseguire codice arbitrario sul gateway stesso [1]. In altre parole: non sarebbe necessario rubare una password né ingannare un dipendente, basterebbe contattare l'apparato esposto a internet per tentare di comprometterlo.

La combinazione di tre fattori è ciò che eleva l'urgenza: gravità critica secondo NVD [1], assenza di autenticazione richiesta [1] e presenza confermata nell'elenco CISA KEV delle vulnerabilità sfruttate attivamente [2]. I gateway VPN sono, per progettazione, apparati pensati per essere accessibili da internet, il che li rende un obiettivo particolarmente attraente quando emerge un difetto di questo tipo.

Chi colpisce

Il produttore interessato è Check Point [1], e la descrizione ufficiale indica in modo esplicito il Quantum Security Gateway [1]. Secondo l'analisi del radar di OCIRIA, questo tipo di difetto nel livello di negoziazione VPN potrebbe interessare anche altri apparati della stessa famiglia di prodotto, come il firewall Spark, condividendo componenti di gestione dei certificati e VPN [3]; si tratta di una valutazione del rischio propria, non di un dato confermato direttamente dal produttore o da NVD, per cui raccomandiamo di trattarla come ipotesi di lavoro mentre si verifica l'inventario reale.

Per quanto riguarda il tipo di organizzazione a rischio: qualsiasi azienda che utilizzi gateway Check Point per VPN Site-to-Site (connessione tra sedi o con fornitori) o VPN ad accesso remoto (telelavoro) dovrebbe considerarsi potenzialmente esposta fino a conferma contraria, dato che entrambi sono gli scenari d'uso abituali per questo tipo di apparati secondo l'analisi di OCIRIA [3].

Come sapere se sei vulnerabile

Non esiste un modo semplice per "vederlo a colpo d'occhio" dall'interno dell'ufficio: bisogna guardare dall'esterno, come farebbe un attaccante. I passi ragionevoli sono:

1. Fare l'inventario di quali apparati Check Point ha l'organizzazione e quale versione di firmware eseguono.

2. Verificare la superficie esposta a internet: quali porte e servizi VPN sono visibili dall'esterno della rete aziendale, poiché sono il punto di ingresso sfruttato da questo tipo di difetto.

3. Controllare i registri (log) di negoziazione dei certificati sui gateway, cercando tentativi di connessione anomali o rifiuti di certificato inusuali, dato che il difetto si verifica precisamente in questa fase [3].

4. Confrontare la versione installata con l'avviso ufficiale del produttore, che è l'unico in grado di determinare con precisione quali build specifiche sono interessate.

Come proteggere la tua azienda

• Applica la patch con massima priorità ai gateway e firewall Check Point non appena il produttore pubblichi o confermi l'aggiornamento corrispondente; essendo presente nel catalogo CISA KEV, si tratta di una vulnerabilità già sfruttata, non di un avviso preventivo [2].
• Verifica le connessioni VPN attive, sia ad accesso remoto che Site-to-Site, cercando sessioni o IP di origine che non riconosci [3].
• Controlla i log dei certificati degli ultimi giorni per rilevare possibili tentativi di exploit precedenti all'applicazione della patch [3].
• Riduci l'esposizione fino all'applicazione della patch: se possibile, limita temporaneamente l'accesso al servizio VPN a range di IP conosciuti o attiva livelli aggiuntivi di autenticazione.
• Documenta l'inventario di tutti gli apparati della famiglia di prodotto interessata, inclusi quelli che l'analisi di OCIRIA segnala come potenzialmente collegati [3], per non lasciare lacune di visibilità.

Domande frequenti

È una vulnerabilità già sfruttata attivamente?

Sì, è inclusa nel catalogo CISA KEV, che raccoglie specificamente le vulnerabilità con exploit attivo noto [2].

Che gravità ha secondo gli standard ufficiali?

Critica, con un punteggio CVSS di 9.8 su 10 [1].

Colpisce solo il Security Gateway o anche altri apparati come il firewall Spark?

La descrizione ufficiale del produttore menziona il Quantum Security Gateway [1]. Secondo l'analisi di OCIRIA, il firewall Spark potrebbe essere anch'esso incluso nell'ambito per la condivisione di componenti VPN [3], anche se è opportuno verificarlo con il produttore stesso prima di escludere o confermare l'impatto su quell'apparato.

Devo essere un esperto tecnico per capire se sono interessato?

Non necessariamente, ma devi sapere quali apparati possiedi e se sono esposti a internet; questo inventario e questa visibilità sono il primo passo, indipendentemente da chi lo esegua all'interno dell'azienda.

Fonti

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-85102
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json
• [3] https://ociria.com