CVE-2026-85102: vulnerabilitate critică în VPN-urile Check Point, deja exploatată

CVE-2026-85102: vulnerabilitate critică în VPN-urile Check Point, deja exploatată

În scurt

A fost confirmată o vulnerabilitate critică (CVE-2026-85102) în Security Gateway de la Check Point, cu un scor CVSS de 9.8 din 10 [1] și publicată pe 9 septembrie 2026 [1]. Defectul este inclus în catalogul CISA KEV al vulnerabilităților cu exploatare cunoscută [2], ceea ce înseamnă că nu este un risc teoretic: a fost deja folosită împotriva unor organizații reale. Dacă firma ta folosește echipamente Check Point pentru VPN de acces la distanță sau conexiuni între sedii, prioritatea de astăzi este să verifici dacă ai versiuni vulnerabile expuse și să aplici fără întârziere patch-ul producătorului.

Ce este și de ce este important

Problema se află într-o validare incorectă a încrederii certificatelor în timpul negocierii conexiunii VPN [1]. În practică, acest lucru poate permite ca un atacator la distanță, fără a avea nevoie de credențiale sau autentificare anterioară, să ajungă să execute cod arbitrar chiar pe gateway [1]. Cu alte cuvinte: nu ar fi nevoie să fure o parolă sau să înșele un angajat, ar fi suficient să contacteze echipamentul expus la internet pentru a încerca să-l compromită.

Combinația a trei factori este cea care ridică urgența: severitate critică conform NVD [1], absența autentificării necesare [1] și prezența confirmată în lista CISA KEV a vulnerabilităților exploatate activ [2]. Gateway-urile VPN sunt, prin design, echipamente concepute pentru a fi accesibile din internet, ceea ce le transformă într-o țintă deosebit de atractivă atunci când apare un defect de acest tip.

Pe cine afectează

Producătorul afectat este Check Point [1], iar descrierea oficială menționează explicit Quantum Security Gateway [1]. Conform analizei radarului OCIRIA, acest tip de defect din stratul de negociere VPN ar putea afecta și alte echipamente din aceeași familie de produse, cum ar fi firewall-ul Spark, deoarece partajează componente de gestionare a certificatelor și VPN [3]; este o evaluare de risc proprie, nu o informație confirmată direct de producător sau de NVD, motiv pentru care recomandăm să fie tratată ca o hipoteză de lucru până la verificarea inventarului real.

În ceea ce privește tipul de organizație în risc: orice companie care utilizează gateway-uri Check Point pentru VPN Site-to-Site (conexiune între sedii sau cu furnizori) sau VPN de acces la distanță (telemuncă) ar trebui să se considere potențial expusă până la confirmarea contrariului, având în vedere că ambele sunt scenariile de utilizare obișnuite pentru acest tip de echipamente, conform analizei OCIRIA [3].

Cum să știi dacă ești vulnerabil

Nu există o modalitate simplă de „a vedea cu ochiul liber” din interiorul birocului: trebuie privit din exterior, așa cum ar face-o un atacator. Pașii raționali sunt:

1. Inventariază ce echipamente Check Point are organizația și ce versiune de firmware rulează.

2. Verifică suprafața expusă la internet: ce porturi și servicii VPN sunt vizibile din afara rețelei corporative, întrucât acestea sunt punctul de intrare exploatat de acest tip de defect.

3. Analizează jurnalele (log-urile) de negociere a certificatelor de pe gateway-uri, căutând tentative de conexiune anormale sau respingeri de certificat neobișnuite, având în vedere că defectul apare exact în această fază [3].

4. Compară versiunea instalată cu avizul oficial al producătorului, acesta fiind cel care determină cu precizie ce build-uri concrete sunt afectate.

Cum să-ți protejezi compania

• Aplică patch-urile cu prioritate maximă pe gateway-urile și firewall-urile Check Point imediat ce producătorul publică sau confirmă actualizarea corespunzătoare; fiind în catalogul CISA KEV, este o vulnerabilitate deja exploatată, nu un avertisment preventiv [2].
• Auditează conexiunile VPN active, atât cele de acces la distanță cât și cele Site-to-Site, căutând sesiuni sau IP-uri de origine pe care nu le recunoști [3].
• Verifică jurnalele de certificate din ultimele zile pentru a detecta posibile tentative de exploatare anterioare aplicării patch-ului [3].
• Redu expunerea cât timp nu este aplicat patch-ul: dacă este posibil, restricționează temporar accesul la serviciul VPN la intervale de IP-uri cunoscute sau activează straturi adiționale de autentificare.
• Documentează inventarul tuturor echipamentelor din familia de produse afectată, inclusiv pe cele pe care analiza OCIRIA le semnalează ca potențial corelate [3], pentru a nu lăsa lacune de vizibilitate.

Întrebări frecvente

Este o vulnerabilitate care deja este exploatată?

Da, este inclusă în catalogul CISA KEV, care înregistrează specific vulnerabilitățile cu exploatare activă cunoscută [2].

Ce gravitate are conform standardelor oficiale?

Critică, cu un scor CVSS de 9.8 din 10 [1].

Afectează doar Security Gateway sau și alte echipamente precum firewall-ul Spark?

Descrierea oficială a producătorului menționează Quantum Security Gateway [1]. Conform analizei OCIRIA, firewall-ul Spark ar putea fi de asemenea în domeniul de aplicare, prin partajarea componentelor VPN [3], însă acest lucru trebuie verificat cu producătorul însuși înainte de a exclude sau confirma impactul asupra acelui echipament.

Trebuie să fiu expert tehnic pentru a înțelege dacă mă afectează?

Nu neapărat, dar trebuie să știi ce echipamente ai și dacă sunt expuse la internet; acel inventar și acea vizibilitate sunt primul pas, indiferent de cine îl execută în cadrul companiei.

Surse

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-85102
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json
• [3] https://ociria.com