Check Point schließt zwei kritische VPN-Zertifikatslücken mit CVSS 9.8
Check Point hat zwei kritische Sicherheitslücken in der VPN-Zertifikatsverarbeitung geschlossen, CVE-2026-85102 und CVE-2026-85103, beide mit CVSS 9.8 bewertet. Betroffen sind Security Gateway, Security Management Server und Spark Firewall auf R81.20, R82 und R82.10. R82.20 ist nicht betroffen. Check Point hat die Lücken intern entdeckt, eine aktive Ausnutzung ist aktuell nicht bestätigt. Admins sollten Live Patch und Jumbo Hotfix Accumulator umgehend prüfen und einspielen.
Check Point hat am 9. September 2026 im Eilverfahren Patches für zwei kritische Sicherheitslücken in der VPN-Zertifikatsverarbeitung veröffentlicht. Beide Lücken, CVE-2026-85102 und CVE-2026-85103, sind mit dem maximal möglichen CVSS-Basiswert von nahezu perfekten 9.8 bewertet und könnten unter bestimmten, vom Hersteller nicht näher spezifizierten Bedingungen einem nicht authentifizierten Angreifer die Ausführung von beliebigem Code ermöglichen. Check Point selbst hat beide Schwachstellen intern entdeckt, eigene CVE-IDs vergeben und bislang keine Hinweise auf aktive Ausnutzung oder öffentlich verfügbare Proof-of-Concept-Exploits gemeldet.
Was ist passiert
Beide Lücken betreffen die Verarbeitung von VPN-Zertifikaten in Check Points Quantum-Produktlinie. Die Advisories sk1000117 und sk1000118 im Check-Point-Supportportal beschreiben die technischen Details. Die Schwachstellen wurden am 9. September 2026 offengelegt, kurz danach berichteten thehackernews.com, securityonline.info und weitere Fachmedien übereinstimmend über CVSS 9.8 und die betroffenen Versionen. Ein CheckMates-Community-Hinweis von Check Point selbst spricht davon, dass die Fehler "unter bestimmten Bedingungen unauthentifizierte Remote Code Execution ermöglichen könnten", nennt diese Bedingungen aber nicht konkret. Das erschwert admins die Risikoeinschätzung für die eigene Umgebung.
Die beiden CVEs im Detail
CVE-2026-85102 ist laut sk1000117 eine unzureichende Validierung von Zertifikatsdaten während der VPN-Aushandlung. Laut Advisory kann dies einem nicht authentifizierten Angreifer erlauben, beliebigen Code auf der Security Gateway auszuführen. Die Schwachstellenklasse ist CWE-295, Improper Certificate Validation.
CVE-2026-85103 ist ein heapbasierter Pufferüberlauf in der ASN.1-Dekodierung von VPN-Zertifikaten, klassifiziert als CWE-122. Laut sk1000118 kann ein Angreifer damit sowohl auf dem Security Management Server als auch auf der Security Gateway remote Code ausführen. Diese Lücke ist besonders heikel, weil sie laut einem Check-Point-Mitarbeiter theoretisch auch dann greifen kann, wenn die VPN-Blade deaktiviert ist, solange VPN-Zertifikate im System vorhanden sind. Ein Community-Administrator formulierte es pointiert: da jeder Management-Server über die interne Check-Point-Zertifizierungsstelle CPCA verfügt, müssten praktisch alle Management-Server gepatcht werden, unabhängig vom VPN-Status.
Betroffene Versionen und Produkte
Betroffen sind Security Gateway, Security Management Server und Spark Firewall auf den Versionslinien R81.20, R82 und R82.10. Nach Angaben aus dem Check-Point-Community-Thread betrifft dies konkret R82.10 mit Jumbo Hotfix Take 43 oder darunter, R82 mit Take 125 oder darunter sowie R81.20 mit Take 165 oder darunter. Ältere, bereits außer Support stehende Versionen von R80 bis R81.10 enthalten laut Berichten ebenfalls den verwundbaren Code, erhalten aber keine offiziellen Patches mehr. Die aktuelle Version R82.20 ist von beiden Lücken nicht betroffen.
Für die kleine Spark-Firewall-Produktlinie nennt das Canadian Centre for Cyber Security die Betroffenheit ohne genaue Versionsangaben, was die Unsicherheit für Betreiber kleinerer Standorte zusätzlich erhöht.
| CVE | CVSS | Schwachstellentyp | Betroffene Komponente | Status |
|---|---|---|---|---|
| CVE-2026-85102 | 9.8 | CWE-295 (Improper Certificate Validation) | Security Gateway | Keine bestätigte Ausnutzung |
| CVE-2026-85103 | 9.8 | CWE-122 (Heap-based Buffer Overflow) | Security Gateway, Security Management Server | Keine bestätigte Ausnutzung |
Patches und Mitigation
Check Point bietet zwei Wege zur Behebung an: das automatische Live-Patch-Verfahren und die Installation des jeweils aktuellen Jumbo Hotfix Accumulators für die eigene Versionslinie. Laut einem Check-Point-Mitarbeiter installiert sich Live Patch auf jedem Jumbo-Hotfix-Stand von R81.20, R82.00 und R82.10. Der automatische Rollout hat allerdings nicht alle Systeme gleichzeitig erreicht, mehrere Nutzer meldeten im Community-Thread, ihre Gateways seien am Ankündigungstag noch auf Take 17 oder Take 18 des Notfall-Update-Pakets gestanden.
Für R81.10, das laut Nutzerberichten weder Hotfix noch Live Patch erhält, bleibt vorerst nur eine manuelle Abmilderung: implizite VPN-Regeln deaktivieren und die UDP-Ports 500 und 4500 auf konkrete Peer-IP-Adressen beschränken. Wie genau diese Mitigation ohne Beeinträchtigung von Remote-Nutzern umzusetzen ist, blieb im Community-Thread unbeantwortet.
- Live Patch Status prüfen, zum Beispiel per Suche nach "live patch" in den Audit-Logs
- Aktuellen Jumbo Hotfix Accumulator Take für R81.20, R82 und R82.10 identifizieren und einspielen
- Management-Server unabhängig vom VPN-Status patchen, da CPCA-Zertifikate betroffen sind
- Bei R81.10 implizite VPN-Regeln prüfen und UDP 500/4500 auf bekannte Peers beschränken
- Spark-Firewall-Geräte auf verfügbare Firmware-Updates kontrollieren
- Nach Patch-Einspielung erneut GET-Verifikation der installierten Take-Nummer durchführen
- Zertifikatsbestand und CPCA-Konfiguration dokumentieren für spätere Audits
- Betroffene Systeme in Asset-Inventar markieren und Patch-Status zentral nachverfolgen
- Sicherheitsteams über fehlende Angaben zu Spark- und Management-Server-Versionen informieren
- Monitoring auf ungewöhnliche VPN-Verbindungsversuche und Zertifikatsfehler verschärfen
- Notfallplan prüfen für den Fall, dass sich später aktive Ausnutzung bestätigt
Offene Fragen
Mehrere Details bleiben trotz der Advisories unklar. Check Point nennt die "spezifischen Bedingungen", unter denen die Lücken tatsächlich ausnutzbar werden, nicht konkret. Ebenso unklar bleibt, welche genauen Spark- und Security-Management-Versionen betroffen sind, und ob ein Patch bereits erlangten Zugriff eines Angreifers wieder entfernen würde. Auch öffentlich verfügbare Details zu einem möglichen Proof-of-Concept-Exploit fehlen bislang, was das Risiko für eine schnelle Ausnutzung in freier Wildbahn aktuell begrenzt, aber nicht ausschließt.
Einordnung für Admins
Die Offenlegung reiht sich in eine Serie kritischer Check-Point-Lücken der vergangenen Monate ein. Im Juni 2026 nahm die US-Behörde CISA CVE-2026-50751, eine Authentifizierungsumgehung in Check Points VPN-Zertifikatsvalidierung, in ihren Known Exploited Vulnerabilities Katalog auf. Im Juli folgte CVE-2026-16232, eine aktiv ausgenutzte SmartConsole-Umgehung mit Admin-Zugriff. Beide Fälle zeigen, dass Check-Point-VPN- und Management-Komponenten wiederholt im Fokus von Angreifern stehen. Für Betreiber bedeutet das: VPN-Gateways und Management-Server gehören zu den Systemen, die bei kritischen CVSS-9.8-Meldungen priorisiert und zeitnah gepatcht werden sollten, auch ohne bestätigte aktive Ausnutzung. Wer Check-Point-Gateways im Einsatz hat, sollte den Patch-Status jetzt prüfen und nicht auf eine spätere Bestätigung von In-the-Wild-Angriffen warten.
Passende Anleitungen auf S-EDV
- VPN-Gateway-Lücken bei Palo Alto, Check Point und WatchGuard im Sommer 2026
- Check Point VPN CVE-2026-50751: Qilin-Ransomware nutzt Auth-Bypass aus
- Check Point SmartConsole CVE-2026-16232: Auth-Bypass mit Admin-Zugriff
Quellen
- The Hacker News: Check Point Discloses Two 9.8-Rated VPN Certificate Flaws Enabling Unauthenticated RCE
- SQ Magazine: Urgent Check Point VPN Flaws Expose Systems to RCE
- Daily CyberSecurity: CVE-2026-85102 & 85103, Check Point VPN Flaws 9.8 CVSS RCE
- Check Point Support: sk1000117 Security Advisory
- Check Point Support: sk1000118 Security Advisory
