Check Point, terzo allarme critico in quattro mesi: due falle VPN a rischio RCE

Check Point ha pubblicato il 9 settembre 2026 due advisory di sicurezza per vulnerabilità critiche nei propri prodotti VPN, entrambe con punteggio CVSS 9.8 e potenziale di esecuzione remota di codice senza autenticazione. È il terzo ciclo di patch critiche in quattro mesi: giugno e luglio 2026 avevano già richiesto interventi analoghi sui gateway perimetrali. La novità stavolta è nella combinazione di gravità tecnica e nella frattura operativa tra versioni supportate, che ricevono fix automatici, e versioni End of Support, che restano scoperte.

Le due falle, identificate come CVE-2026-85102 e CVE-2026-85103, sono state scoperte internamente dal vendor. Secondo le advisory ufficiali sk1000117 e sk1000118, non esiste evidenza di exploit in-the-wild. La discrepanza tra la severità del rischio teorico e la protezione effettiva dei clienti su cicli di aggiornamento lenti definisce il problema operativo del caso.

I meccanismi: due errori nella catena dei certificati VPN

Le due vulnerabilità colpiscono fasi distinte del processing dei certificati nei tunnel VPN, ma condividono il medesimo profilo di attacco: accesso remoto, nessuna autenticazione richiesta, impatto massimo su confidenzialità, integrità e disponibilità.

CVE-2026-85102, descritta nell'advisory sk1000117, risiede nella "improper validation of certificate data during VPN negotiation". Il difetto consente a un attaccante remoto non autenticato di eseguire codice arbitrario sul Security Gateway. Il meccanismo è classificato con CWE-295.

"Improper validation of certificate data during VPN negotiation may allow an unauthenticated remote attacker to execute arbitrary code on the Security Gateway." — Check Point advisory sk1000117

CVE-2026-85103, documentata in sk1000118, è un "heap overflow in the VPN certificate ASN.1 decoding flow". Questa seconda falla estende la superficie d'attacco: oltre al Security Gateway, interessa anche il Security Management Server. Il difetto è classificato con CWE-122.

Un elemento di complessità emerge dalla discussione community riportata da The Hacker News: CVE-2026-85103 potrebbe teoricamente essere triggerabile anche in ambienti dove il VPN blade non è attivo, purché siano presenti certificati VPN nel sistema. Check Point non ha confermato né smentito questa condizione in modo esplicito nelle advisory primarie.

Le versioni nel mirino: supportate, patchate, abbandonate

La mappa delle versioni affette traccia una linea netta tra chi è coperto e chi no. I fix permanenti arrivano con il Jumbo Hotfix Accumulator a partire da Take 44 per R82.10, Take 126 per R82, Take 166 per R81.20. Per Spark Firewall, i build corretti sono R82.00.10 Build 2325 e successivi, R81.10.17 Build 4968 e successivi.

La mitigazione in-memory tramite Check Point Live Patch (CPLP) è disponibile con il BUNDLE_URGENT_SECURITY_UPDATE take 24, con rollout avviato il 9 settembre 2026. Il Live Patch non richiede reboot, ma è temporaneo: serve a bloccare l'exploitability immediata fino all'applicazione del Jumbo Hotfix permanente.

La frattura operativa riguarda le versioni End of Support: R80, R80.10-R80.40, R81, R81.10. Per queste Check Point non rilascerà patch. Alcuni clienti con R81.10 hanno segnalato, secondo The Hacker News, l'assenza di hotfix disponibili nella propria console. Il dossier non chiarisce se questa segnalazione rifletta un ritardo di distribuzione o una esclusione programmatica.

Per le versioni coperte da fix manuale, Check Point indica la disabilitazione delle implied rules VPN e la definizione manuale dell'accesso su UDP/500 e UDP/4500 per peer IP specifici. Questa mitigazione non è applicabile agli Spark Firewall in gestione locale.

La frequenza critica: giugno, luglio, settembre 2026

Il contesto che rende questo advisory più di una singola patch è la ricorrenza. Check Point ha già gestito cicli critici a giugno e luglio 2026, sempre su componenti VPN e perimetrali. La concatenazione di tre eventi in quattro mesi, tutti con potenziale di accesso iniziale non autenticato, configura un profilo di rischio sistemico per gli amministratori che gestiscono questi gateway.

La scelta architetturale di concentrare funzioni VPN, firewall e gestione su piattaforme integrate, storicamente un punto di forza del vendor, amplifica qui la superficie di impatto. Un RCE pre-autenticazione su gateway VPN perimetrale rappresenta uno dei vettori di accesso iniziale più pericolosi nel panorama attuale: bypassa i controlli di rete interni, espone direttamente l'infrastruttura, e fornisce un piede di porco per movimenti laterali.

Le advisory primarie non documentano se l'installazione della patch rimuova accesso già ottenuto da un attaccante. Questo limite è rilevante per la valutazione del rischio: un amministratore che patcha oggi non può assumere di aver chiuso una compromissione iniziata ieri.

Cosa fare adesso

Verificare la versione e la disponibilità del Jumbo Hotfix. Per R82.10, R82 e R81.20, confermare che il sistema riporti almeno Take 44, Take 126 o Take 166 rispettivamente. Secondo le release notes ufficiali, questi sono i primi accumulatori che contengono il fix permanente.

Applicare il Live Patch CPLP take 24 se il Jumbo Hotfix non è immediatamente installabile. Il meccanismo è attivo dal 9 settembre 2026 e fornisce mitigazione in-memory senza reboot del gateway.

Valutare la mitigazione manuale per deployment con Site to Site VPN. Disabilitare le implied rules VPN e definire esplicitamente l'accesso su UDP/500 e UDP/4500 per gli indirizzi IP peer autorizzati. Questa azione non è applicabile agli Spark Firewall in gestione locale.

Pianificare la transizione per versioni EoS. R80, R80.10-R80.40, R81 e R81.10 non ricevono patch. L'esposizione permanente di queste versioni, collocate tipicamente su perimetri di rete con esposizione internet, richiede una decisione architetturale: upgrade, segmentazione aggiuntiva, o sostituzione della piattaforma.

Il gap tra disclosure e protezione effettiva

Il caso Check Point di settembre 2026 mostra un pattern che attraversa l'industria della sicurezza perimetrale: la velocità di disclosure del vendor supera spesso la capacità operativa di chi deve applicare le patch. Il Live Patch mitiga il divario, ma non lo chiude: è temporaneo, richiede comunque un ciclo di aggiornamento, e non copre le versioni fuori supporto.

La scoperta interna delle falle è un dato positivo per la maturità del processo di sicurezza di Check Point, ma non abbassa il rischio per i clienti. L'assenza di exploit in-the-wild, confermata dalle fonti primarie, offre una finestra temporale che gli amministratori devono trattare come contingente: le condizioni tecniche per l'exploit esistono, e la pubblicazione dell'advisory può accelerare la reverse engineering.

Check Point non ha pubblicato un PoC, né dettagliato le condizioni specifiche di exploitability. Questo è coerente con la pratica responsabile di disclosure, ma lascia i difensori senza un modo indipendente di verificare se i propri sistemi siano tecnicamente esposti oltre che teoricamente vulnerabili. La valutazione del rischio resta, in questa fase, una funzione di fiducia nel vendor.

Fonti

• https://www.securityweek.com/check-point-patches-critical-vpn-vulnerabilities/
• https://thehackernews.com/2026/09/check-point-discloses-two-98-rated-vpn.html
• https://s-edv.com/news/check-point-vpn-zertifikat-cve-2026-85102-85103-cvss-98
• https://bellatorcyber.com/blog/check-point-patches-critical-vpn-vulnerabilities
• https://www.hendryadrian.com/check-point-discloses-two-9-8-rated-vpn-certificate-flaws-enabling-unauthenticated-rce/
• https://gbhackers.com/critical-check-point-vpn-flaws/
• https://support.checkpoint.com/results/sk/sk1000117
• https://support.checkpoint.com/results/sk/sk1000118
• https://support.checkpoint.com/results/sk/sk185114
• https://podcast.securityweek.com/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://schema.org/FAQPage
• https://schema.org/Question
• https://schema.org/Answer