Niederländisches NCSC warnt vor wahrscheinlicher Ausnutzung kritischer Check-Point-VPN-Schwachstellen

Das Nationale Cyber Security Centre (NCSC) der Niederlande hat Unternehmen dazu aufgefordert, zwei kritische Schwachstellen in Check-Point-VPN-Produkten zügig zu beheben, da es kurzfristig mit Ausnutzungsversuchen rechnet.

Die als CVE-2026-85102 und CVE-2026-85103 geführten Schwachstellen wurden von Check Point am 9. September gepatcht. Obwohl dem NCSC kein öffentlich verfügbarer Proof-of-Concept-Exploit bekannt war, bewertete es sowohl die Wahrscheinlichkeit als auch die potenziellen Auswirkungen von Angriffen als hoch.

Risiko einer Remotecodeausführung

CVE-2026-85102 betrifft eine unzureichende Validierung von Zertifikatsdaten während der VPN-Aushandlung. Laut Check Point könnte ein Remote-Angreifer die Schwachstelle potenziell nutzen, um beliebigen Code auf einem Security Gateway auszuführen.

Die zweite Schwachstelle, CVE-2026-85103, ist ein Heap-Overflow im ASN.1-Decoder für VPN-Zertifikate. Eine erfolgreiche Ausnutzung könnte Remotecodeausführung auf Check Point Security Gateways und Security Management Servern ermöglichen.

Das NCSC erklärte, dass die Kompromittierung eines verwundbaren Geräts Angreifern eine weitreichende Kontrolle über betroffene Systeme ermöglichen, den Zugriff auf sensible Informationen oder deren Veränderung erlauben und Geschäftsabläufe unterbrechen könnte. VPN-Gateways sind häufig aus dem Internet erreichbar und bieten einen Zugang zu internen Unternehmensnetzwerken, wodurch sie zu einem vorrangigen Ziel für Bedrohungsakteure werden.

Updates und Maßnahmen zur Risikominderung

Zu den betroffenen Produkten gehören mehrere R81- und R82-Versionen sowie ältere Versionen, deren Support eingestellt wurde. Check Point erklärte, dass die Probleme mit LivePatch Take 24 für R81.20, R82 und R82.10 behoben sind. Korrekturen sind außerdem über aktualisierte Jumbo Hotfix Accumulators und unterstützte Spark-Builds verfügbar.

• R82.10 Jumbo Hotfix Accumulator Take 44 oder höher
• R82 Jumbo Hotfix Accumulator Take 126 oder höher
• R81.20 Jumbo Hotfix Accumulator Take 166 oder höher
• Spark R82.00.10 Build 2325 oder höher
• Spark R81.10.17 Build 4968 oder höher

Check Point VPN R82.20 ist laut Hersteller nicht betroffen. Unternehmen, die Site-to-Site-VPN-Bereitstellungen nutzen, sollten VPN-Regeln zudem nach Möglichkeit auf bekannte und vertrauenswürdige IP-Adressen beschränken. Administratoren, die Check Point LivePatch verwenden, sollten überprüfen, ob die automatischen Schutzmaßnahmen angewendet wurden, da die Abdeckung von der Produktversion und Konfiguration abhängt.