Wprowadzenie do problemu
Check Point potwierdził aktywne wykorzystanie krytycznej podatności typu pre-authentication remote code execution w komponencie obsługi certyfikatów VPN w produkcie Security Gateway. Tego rodzaju luka należy do najgroźniejszych klas błędów, ponieważ pozwala na wykonanie kodu jeszcze przed uwierzytelnieniem, bez konieczności posiadania poprawnych danych dostępowych.
W praktyce oznacza to, że atakujący może próbować przejąć urządzenie brzegowe odpowiedzialne za zestawianie tuneli VPN i obsługę dostępu zdalnego. Dla organizacji korzystających z rozwiązań Check Point jest to scenariusz o bardzo wysokim priorytecie operacyjnym.
W skrócie
Podatność została oznaczona jako CVE-2026-85102 i dotyczy mechanizmu przetwarzania danych certyfikatów podczas negocjacji połączeń VPN. Producent poinformował, że luka jest już wykorzystywana w rzeczywistych atakach, a pierwsze obserwowane próby miały rozpocząć się 12 września 2026 roku.
- Luka ma charakter pre-auth RCE.
- Dotyczy środowisk Site-to-Site VPN oraz Remote Access VPN.
- Problem obejmuje Check Point Security Gateway oraz wybrane wdrożenia Spark Firewall.
- Dostępne są poprawki, hotfixy i zalecenia ograniczające powierzchnię ataku.
Kontekst i historia
Incydent wpisuje się w utrzymujący się trend ataków na infrastrukturę brzegową, zwłaszcza rozwiązania VPN. Urządzenia tego typu są atrakcyjnym celem, ponieważ znajdują się na styku Internetu i sieci wewnętrznej, a jednocześnie często obsługują ruch uprzywilejowany i zdalny dostęp użytkowników.
We wrześniu 2026 roku Check Point opublikował poprawki dla dwóch krytycznych luk związanych z VPN, w tym CVE-2026-85102. Początkowo producent nie potwierdzał wykorzystania podatności w środowiskach produkcyjnych, jednak w kolejnych komunikatach wskazał już na aktywne kampanie ataków. Dodatkowo luka została uwzględniona w katalogu Known Exploited Vulnerabilities prowadzonym przez CISA, co znacząco podnosi jej priorytet z punktu widzenia zarządzania podatnościami.
Analiza techniczna
CVE-2026-85102 to luka typu pre-auth RCE wynikająca z niewłaściwej walidacji danych certyfikatów w trakcie negocjacji VPN. Odpowiednio spreparowane dane przesłane do podatnego komponentu mogą doprowadzić do wykonania kodu na urządzeniu przed zakończeniem procesu uwierzytelnienia.
Z punktu widzenia napastnika taki wektor ataku jest szczególnie korzystny. Nie wymaga interakcji użytkownika, nie zakłada kompromitacji konta i może zostać wykorzystany przeciwko urządzeniom wystawionym bezpośrednio do Internetu. Według ujawnionych informacji problem dotyczy Security Gateway oraz wybranych wdrożeń Spark Firewall korzystających z funkcji Site-to-Site VPN lub Remote Access VPN.
Check Point wskazał również powiązaną krytyczną lukę CVE-2026-85103, dotyczącą dekodowania ASN.1 certyfikatów VPN, która także może prowadzić do zdalnego wykonania kodu bez uwierzytelnienia. Pokazuje to, że obszar przetwarzania certyfikatów i negocjacji tuneli VPN stał się w tym przypadku istotnym wektorem ryzyka.
Producent poinformował także, że napastnicy ukrywali źródła ruchu przy użyciu infrastruktury anonimizującej, w tym usług VPN i serwerów proxy. Choć wskazano obserwowane wzorce subject w certyfikatach wykorzystywanych podczas prób ataków, nie należy traktować ich jako kompletnej listy wskaźników kompromitacji. Znacznie większe znaczenie operacyjne ma monitorowanie anomalii w ruchu VPN, nietypowych restartów procesów, zmian konfiguracji oraz nieautoryzowanych połączeń wychodzących z urządzeń brzegowych.
Konsekwencje i ryzyko
Ryzyko związane z tą podatnością należy uznać za krytyczne. Kompromitacja bramy VPN może umożliwić pełne przejęcie urządzenia, utrzymanie trwałej obecności w segmencie brzegowym, podsłuch lub modyfikację ruchu, a także dalszy ruch boczny do systemów wewnętrznych.
Skutki skutecznego ataku mogą obejmować naruszenie poufności, integralności i dostępności zasobów organizacji. Dodatkowo aktywne wykorzystanie luki oznacza, że nie jest to scenariusz wyłącznie teoretyczny. To realne zagrożenie operacyjne, które może zostać szybko zautomatyzowane i przejęte przez kolejne grupy przestępcze.
Rekomendacje
Najwyższym priorytetem powinno być ustalenie, czy organizacja korzysta z podatnych wersji Check Point Security Gateway, Spark Firewall lub powiązanych funkcji VPN. Następnie należy bezzwłocznie wdrożyć poprawki producenta, w tym LivePatch Take 26 dla wspieranych wersji oraz odpowiednie Jumbo Hotfixy zgodnie z używaną macierzą wersji.
Jeżeli natychmiastowe wdrożenie aktualizacji nie jest możliwe, warto równolegle ograniczyć powierzchnię ataku poprzez zmiany konfiguracyjne i dodatkowe działania monitorujące.
- Wyłączyć implied rules dla VPN tam, gdzie jest to możliwe.
- Dopuścić ruch Site-to-Site VPN wyłącznie z określonych adresów zaufanych peerów.
- Ograniczyć ekspozycję usług Remote Access VPN do niezbędnych portów i zaufanych zakresów adresów IP.
- Zweryfikować, czy mechanizmy LivePatch działają prawidłowo.
- Przeanalizować logi urządzeń brzegowych pod kątem nietypowych negocjacji certyfikatów, błędów usług VPN i nieautoryzowanych zmian konfiguracji.
- Uruchomić działania threat hunting dla systemów potencjalnie wystawionych do Internetu.
- Przygotować plan awaryjny obejmujący izolację bramy, rotację poświadczeń administracyjnych oraz przegląd zaufanych certyfikatów.
Dobrą praktyką pozostaje także traktowanie urządzeń VPN jako systemów wysokiego ryzyka. Oznacza to potrzebę dodatkowej segmentacji administracyjnej, ograniczenia dostępu zarządczego, ścisłego monitorowania oraz regularnych przeglądów konfiguracji kryptograficznej i polityk zaufania.
Podsumowanie
Aktywnie wykorzystywana luka CVE-2026-85102 w Check Point Security Gateway potwierdza, że komponenty odpowiedzialne za obsługę certyfikatów i negocjację połączeń VPN pozostają jednymi z najbardziej wrażliwych elementów infrastruktury brzegowej. Charakter pre-auth RCE znacząco obniża próg wejścia dla atakującego i zwiększa potencjalną skalę incydentu.
Dla organizacji korzystających z rozwiązań Check Point kluczowe pozostaje szybkie wdrożenie poprawek, ograniczenie ekspozycji usług VPN oraz aktywne monitorowanie oznak kompromitacji. W obecnym krajobrazie zagrożeń zwłoka w aktualizacji urządzeń dostępnych z Internetu istotnie zwiększa prawdopodobieństwo udanego ataku.