Das niederländische Nationaal Cyber Security Centrum (NCSC) schlägt Alarm: Zwei kritische Sicherheitslücken in Check Point VPN-Produkten, die als CVE-2026-85102 und CVE-2026-85103 geführt werden, werden nach Einschätzung der Behörde in Kürze aktiv ausgenutzt. Obwohl bislang kein öffentlicher Proof-of-Concept-Exploit vorliegt, stuft das NCSC die Wahrscheinlichkeit einer Ausnutzung und das potenzielle Schadensausmaß als hoch ein und fordert Unternehmen zum sofortigen Handeln auf.
Die Schwachstellen im Detail: Zwei Wege zur Kompromittierung
Check Point VPN ist eine zentrale Unternehmenslösung, die Remote-Mitarbeitern über verschlüsselte Verbindungen den sicheren Zugriff auf interne Netzwerke ermöglicht. Genau dieser Mechanismus ist nun das Einfallstor. Die erste Schwachstelle, CVE-2026-85102, betrifft eine unzureichende Validierung von Zertifikatsdaten während des VPN-Aushandlungsprozesses. Ein entfernter Angreifer kann diese Lücke ausnutzen, um beliebigen Code auf einem Security Gateway auszuführen.
Noch tiefgreifender ist die zweite Schwachstelle, CVE-2026-85103. Hier handelt es sich um einen Heap-Überlauf im ASN.1-Decoder für VPN-Zertifikate. Ein Angreifer kann diesen Fehler ebenfalls für Remote-Code-Ausführung nutzen, jedoch nicht nur auf Security Gateways, sondern auch auf Security Management Servern. Dies gibt einem Angreifer potenziell die vollständige Kontrolle über die zentrale Verwaltungsebene der Sicherheitsinfrastruktur.
Warum die Bedrohungslage so ernst ist
Das NCSC begründet seine dringende Warnung mit der hohen Verbreitung von Check Point-Lösungen in Unternehmensnetzwerken und der kritischen Natur der Schwachstellen. Gelingt die Ausnutzung, kann ein Angreifer ein System vollständig übernehmen, vertrauliche Daten einsehen oder manipulieren und den Betrieb massiv stören. Die fehlenden öffentlichen Exploits sind dabei kein Grund zur Entwarnung, da die Analyse der Schwachstellen durch Sicherheitsforscher und potenzielle Angreifer bereits läuft und die ersten erfolgreichen Angriffe erwartet werden.
Betroffene Versionen und verfügbare Patches
Check Point hat am 9. September Sicherheitsupdates veröffentlicht, die beide Lücken schließen. Die Patches sind in den Security Advisories sk1000117 und sk1000118 dokumentiert. Unternehmen müssen umgehend prüfen, ob ihre eingesetzten Versionen betroffen sind.
Die als verwundbar eingestuften Releases umfassen die aktuellen Hauptversionen R81.20, R82, R82.10, R81.10.x, R82.00.x. Darüber hinaus sind auch die End-of-Support-Versionen (EoS) R80 bis R80.40, R81 und R81.10 betroffen, für die es keine regulären Updates mehr gibt. Die Version R82.20 ist von beiden Schwachstellen nicht betroffen.
Check Point empfiehlt die folgenden Update-Stände, um die Systeme abzusichern:
Jumbo Hotfix Accumulatoren (Hauptversionen)
- R82.10: Jumbo Hotfix Accumulator Take 44 oder höher
- R82: Jumbo Hotfix Accumulator Take 126 oder höher
- R81.20: Jumbo Hotfix Accumulator Take 166 oder höher
Spezifische Builds für Spark-Umgebungen
- Spark R82.00.10: Build 2325 oder höher
- Spark R81.10.17: Build 4968 oder höher
Für die Versionen R81.20, R82 und R82.10 bietet Check Point zudem den LivePatch Take 24 an. Dieser Patch kann in vielen Fällen ohne Server-Neustart eingespielt werden und steht auch Kunden zur Verfügung, die Check Point Live Patch (CPLP) nutzen. Die automatische Mitigation über CPLP greift seit dem 9. September, allerdings nur für die genannten drei Versionen und nicht für alle Konfigurationen. Administratoren sollten daher prüfen, ob der Schutz tatsächlich aktiv ist.
Sofortige Handlungsempfehlungen für Administratoren
Das NCSC und Check Point selbst drängen auf eine umgehende Installation der verfügbaren Sicherheitsupdates. Zeit ist der kritischste Faktor. Für Unternehmen, die eine sofortige Aktualisierung nicht innerhalb kürzester Zeit umsetzen können, gibt es eine wichtige Zwischenlösung: Administratoren sollten bei der Komponente Site-to-Site VPN die Regeln so modifizieren, dass nur Verbindungen von spezifischen, vertrauenswürdigen IP-Adressen zugelassen werden. Dies reduziert die Angriffsfläche deutlich, ersetzt jedoch nicht die Installation der Patches.
Welche Systeme priorisiert werden sollten
Angesichts der Schwere der Schwachstellen sollten Unternehmen nicht nur die Security Gateways, sondern insbesondere die Security Management Server priorisieren. Ein kompromittierter Management-Server gibt einem Angreifer die Schlüssel zur gesamten Firewall- und VPN-Infrastruktur. Die Schließung der Lücke auf diesen Systemen hat oberste Priorität, auch wenn dafür ein geplantes Wartungsfenster notwendig ist.
Fazit der Redaktion: Eine der ernstesten VPN-Warnungen der letzten Jahre
Die Warnung des niederländischen NCSC ist keine routinemäßige Sicherheitsmeldung. Die Kombination aus der Kritikalität der Schwachstellen (Remote Code Execution auf zentralen Sicherheitskomponenten), der weiten Verbreitung von Check Point-Lösungen im Enterprise-Bereich und der expliziten Erwartung einer unmittelbaren Ausnutzung macht diese Bedrohungslage besonders brisant. Unternehmen, die Check Point VPN einsetzen, müssen diese Warnung als akuten Handlungsbefehl verstehen. Die Zeitfenster für eine reaktive Verteidigung schließen sich, sobald die ersten öffentlichen Exploits oder groß angelegten Angriffswellen auftauchen. Die jetzt verfügbaren Patches und die empfohlenen Konfigurationsänderungen sind der einzige Weg, um die Netzwerksicherheit in den kommenden Tagen und Wochen zu gewährleisten. Die IT-Verantwortlichen sollten nicht warten, bis ein Vorfall sie zum Handeln zwingt.
