Check Point отстрани две критични уязвимости в начина, по който нейните продукти за защитни стени и управление обработват VPN сертификати. Компанията заявява, че и двете биха могли да позволят на неоторизиран отдалечен атакуващ да изпълни зловреден код, но само „при определени условия“, които не са описани.

Единият дефект засяга Security Gateways на Check Point (устройствата за защитна стена). Другият засяга както тези шлюзове, така и Security Management Server – конзолата, използвана за тяхното конфигуриране.

Check Point разкри уязвимостите на 9 септември в уведомление до потребителската си общност и започна да предоставя корекции за сигурност същия ден. Компанията съобщава, че е открила и двата проблема самостоятелно и няма индикации някой от тях да е бил използван при атака.

Първата уязвимост, CVE-2026-85102, представлява грешка при правилното валидиране на доверието в сертификатите по време на VPN преговорите. Според записа в базата данни с CVE, отдалечен киберпрестъпник без автентификация може да успее да изпълни зловреден код на Security Gateway.

Втората уязвимост, CVE-2026-85103, е препълване на буфера в динамичната памет (heap-based buffer overflow), което възниква, докато продуктът декодира ASN.1 структурата на VPN сертификат. Нейният CVSS запис сочи, че неоторизиран отдалечен субект може да изпълни злонамерен код в системите Quantum Security Management и Quantum Security Gateway.

И двата записа имат CVSS оценка от 9.8. Check Point сама е определила идентификаторите и оценките за критичност.

Двата записа съдържат един и същ списък със засегнати версии:

  • R82.10 с Jumbo Hotfix Take 43 или по-ниска
  • R82 с Jumbo Hotfix Take 125 или по-ниска
  • R81.20 с Jumbo Hotfix Take 165 или по-ниска

Това са версиите, отбелязани като засегнати, а не тези, които съдържат корекцията. Списъкът обхваща три клона на Quantum и не предоставя информация за версиите на други продукти.

Препоръка от Канадския център за киберсигурност, публикувана същата вечер, изброява по-широк набор от продукти, но без посочени версии. Тя включва Security Gateway, Security Management Server и Spark Firewall (линията на Check Point за малкия бизнес).

Spark се появява два пъти – веднъж за внедрявания, използващи Site-to-Site или Remote Access VPN, и веднъж без това условие.

В същата дискусия в общността представител на Check Point бе запитан дали шлюзове с изключен софтуерен модул (blade) за VPN са засегнати от CVE-2026-85103. Той отговори, че проблемът е свързан с обработката на сертификати, така че на теория може да бъде активиран в среда без VPN, но с налични VPN сертификати.

Check Point предостави на клиентите си два начина за отстраняване на уязвимостта.

Първият е Check Point Live Patch. Компанията заявява, че клиентите, които го използват, се защитават автоматично с началото на разпространението, започнало на 9 септември. Служител на Check Point потвърди във форумната нишка, че той може да се инсталира върху всяко ниво на Jumbo Hotfix в R81.20, R82.00 и R82.10, като назова само тези три версии.

Вторият начин е Jumbo Hotfix. Check Point посъветва клиентите си да инсталират най-новата версия на корекцията за сигурност за тяхната внедрена система веднага щом стане налична.

Ако все още не можете да инсталирате корекции за сигурност

Двама клиенти съобщиха в дискусията, че използват R81.10 и няма да преминат към по-нова версия в продължение на седмици. Един от тях отбеляза, че за този клон няма наличен Jumbo Hotfix или Live Patch, което оставя ограничаването на риска (mitigation) като единствена опция.

Същият клиент определи препоръчаните мерки за ограничаване на риска – изключване на подразбиращите се правила (implied rules) за VPN – като твърде неясни за прилагане и попита кои конфигурационни редове да бъдат коментирани/премахнати. Друг потребител попита как да приложи ограничението, без това да засегне отдалечените потребители. Нито един от въпросите не получи отговор в нишката.

Няколко клиенти също така заявиха, че автоматичното разпространение не е стигнало до тях. Пет отделни профила съобщиха, че шлюзовете им все още са на Take 18 или Take 17 от спешния пакет за обновяване на сигурността в деня на анонса; един от тях публикува дневник на обновленията, показващ инсталиран Take 18 на 1 септември и нищо след това.

Няколко потребители съобщиха, че връзките за изтегляне в двете бюлетини за сигурност не работят, а представител на Check Point отговори, че връзките са проверени и са активни. Един от клиентите заяви след това, че връзките от бюлетина все още не работят в два браузъра, докато връзката в статията за Live Patch функционира.

През юни и юли Check Point коригира критични уязвимости в тези продукти, за които заяви, че вече са били експлоатирани при обявяването им. През юни това беше CVE-2026-50751 – заобикаляне на автентификацията при валидиране на сертификати в Remote Access VPN и Mobile Access. Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) я добави към своя каталог с известни експлоатирани уязвимости (KEV) на 8 юни.

През юли беше отстранена CVE-2026-16232 – заобикаляне на автентификацията в SmartConsole, която CISA добави към същия каталог в деня на разкриването ѝ. Това бе една от трите уязвимости, коригирани от Check Point същия месец, две от които засягаха Security Management Server – същият компонент, който е засегнат и от CVE-2026-85103.

Check Point все още не е публикувала индикатори за компрометиране (IoCs) за нито една от новите уязвимости. Запитан в нишката дали дневниците (logs) ще покажат опити за експлоатация, представител на компанията заяви, че не са намерени доказателства за външна експлоатация и че индикаторите за компрометиране се прилагат само за експлойти, които вече съществуват.

Нито съобщението на Check Point, нито публичните записи, прегледани за тази статия, посочват кои версии на Spark или Security Management са засегнати, кои build-ове съдържат корекцията за сигурност или какви конкретни условия изискват уязвимостите според компанията. Нищо в тези материали не разглежда въпроса дали инсталирането на корекцията премахва достъпа, който атакуващ вече може да е получил.

Бюлетините за сигурност sk1000117 и sk1000118 на Check Point са документите, към които компанията пренасочва клиентите за засегнати продукти, насоки за намаляване на риска и стъпки за отстраняване.