A Check Point corrigiu duas vulnerabilidades críticas na forma como seus produtos de firewall e gerenciamento lidam com certificados VPN. Segundo a empresa, ambas poderiam permitir que um invasor remoto, sem autenticação, executasse código, mas apenas “sob condições específicas”, que não foram detalhadas.
Uma das falhas afeta os Security Gateways, os appliances de firewall da empresa. A outra atinge esses gateways e também o Security Management Server, a console usada para configurá-los.
A Check Point divulgou as falhas em 9 de setembro, em um comunicado à sua comunidade de clientes, e começou a distribuir as correções no mesmo dia. A empresa afirma que identificou os dois problemas por conta própria e que não há indícios de uso em ataques.
A primeira falha,
CVE-2026-85102
, é uma falha na validação adequada da confiança de um certificado durante a negociação da VPN. O registro da CVE informa que um invasor remoto, sem autenticação, pode conseguir executar código no Security Gateway.
A segunda,
CVE-2026-85103
, é um estouro de buffer baseado em heap que ocorre enquanto o produto decodifica a estrutura ASN.1 de um certificado VPN. O registro indica que um invasor remoto, sem autenticação, pode conseguir executar código em sistemas Quantum Security Management e Quantum Security Gateway.
Ambos os registros receberam nota 9,8 no CVSS. A atribuição dos identificadores e das notas foi feita pela própria Check Point.
Os dois registros trazem a mesma lista de versões afetadas:
R82.10 com Jumbo Hotfix Take 43 ou inferior
R82 com Jumbo Hotfix Take 125 ou inferior
R81.20 com Jumbo Hotfix Take 165 ou inferior
Essas são as versões marcadas como afetadas, e não necessariamente as que já incluem a correção. A lista cobre três linhas do Quantum e não informa versões de outros produtos.
Um aviso do Centro Canadense de Cibersegurança, publicado na mesma noite, cita um conjunto mais amplo de produtos, mas sem informar versões. Ele menciona Security Gateway, Security Management Server e Spark Firewall, a linha voltada a pequenas empresas da Check Point.
O Spark aparece duas vezes, uma para implantações com Site-to-Site ou Remote Access VPN e outra sem essa condição.
No mesmo tópico da comunidade, um funcionário da Check Point foi questionado se gateways com a camada de software de VPN desativada também seriam afetados pela
CVE-2026-85103
. Ele respondeu que o problema está no processamento de certificados e, em tese, poderia ser acionado em um ambiente sem VPN, desde que houvesse certificados VPN presentes.
A Check Point ofereceu aos clientes dois caminhos para a correção.
O primeiro é o Check Point Live Patch. A empresa afirma que os clientes que o utilizam ficam protegidos automaticamente à medida que a distribuição começa, o que teve início em 9 de setembro. Um funcionário da Check Point disse no tópico que ele pode ser instalado sobre qualquer nível de Jumbo Hotfix nas versões R81.20, R82.00 e R82.10, citando apenas essas três versões.
O segundo é o Jumbo Hotfix. A Check Point orientou os clientes a instalarem a versão mais recente disponível para o sistema em uso assim que ela estivesse liberada.
Se ainda não for possível corrigir
Dois clientes disseram no tópico que usam R81.10 e que não deixarão essa versão nas próximas semanas. Um deles afirmou que não havia Jumbo Hotfix nem Live Patch disponível para essa linha, o que deixaria a mitigação como única alternativa.
O mesmo cliente classificou a mitigação do comunicado como a desativação de regras implícitas para VPN, disse que a orientação era vaga demais para ser aplicada e perguntou quais linhas de configuração deveriam ser comentadas. O outro perguntou como aplicar a mitigação sem afetar os usuários remotos. Nenhuma das perguntas foi respondida no tópico.
Vários clientes também afirmaram que a distribuição automática ainda não os havia alcançado. Cinco contas relataram que os gateways ainda estavam no Take 18 ou no Take 17 do pacote urgente de atualização de segurança no dia do anúncio; uma delas publicou um log mostrando o Take 18 instalado em 1º de setembro e nenhuma alteração depois disso.
Diversos clientes relataram que os links de download nos dois comunicados não funcionavam para eles, e um funcionário da Check Point respondeu que os links haviam sido verificados e estavam operando normalmente. Depois disso, um cliente disse que os links dos comunicados continuavam falhando em dois navegadores, enquanto o link do artigo sobre o Live Patch funcionava.
Em junho e julho, a Check Point corrigiu falhas críticas nesses produtos e afirmou que elas já estavam sendo exploradas no momento do anúncio. A de junho foi a
CVE-2026-50751
, um desvio de autenticação na validação de certificados do Remote Access VPN e do Mobile Access. A Cybersecurity and Infrastructure Security Agency, a CISA, incluiu a falha no catálogo Known Exploited Vulnerabilities em 8 de junho.
A de julho foi a
CVE-2026-16232
, um desvio de autenticação no SmartConsole, que a CISA adicionou ao mesmo catálogo no dia em que foi divulgada. Ela foi uma das três falhas corrigidas pela Check Point naquele mês, e duas delas afetavam o Security Management Server, o mesmo componente alcançado pela
CVE-2026-85103
.
A Check Point ainda não publicou indicadores de comprometimento para nenhuma das novas falhas. Questionada no tópico se os logs mostrariam tentativas de exploração, uma funcionária da empresa afirmou que não havia evidências de exploração externa e que indicadores de comprometimento só se aplicam a exploits já conhecidos.
Nem o comunicado da Check Point nem qualquer registro público analisado para esta reportagem informa quais versões do Spark ou do Security Management são afetadas, quais compilações já incluem a correção ou quais condições específicas a empresa diz que são necessárias para a exploração. Também não há, nesse material, informação sobre se a instalação da correção remove acesso que um invasor já tenha obtido.
Os comunicados sk1000117 e sk1000118 são os documentos aos quais a Check Point direciona os clientes para consultar os produtos afetados, a orientação de mitigação e as etapas de correção.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...