オランダ国家サイバーセキュリティセンター（NCSC）は、Check Point VPNソリューションに存在する2件の重大な脆弱性が近く悪用され始める可能性があるとして、組織にできるだけ早くセキュリティアップデートをインストールするよう呼びかけた。現時点では、一般に公開された概念実証（PoC）は公開されていないが、悪用の可能性と影響に関する同センターの評価はいずれも高い。
リモートコード実行につながる可能性がある2件の脆弱性
1件目の脆弱性にはCVE-2026-85102という識別子が付与されており、VPN接続のネゴシエーション中に証明書データが適切に検証されないことに関連している。リモートの攻撃者はこの脆弱性を悪用し、セキュリティゲートウェイ（Security Gateway）上で任意のコードを実行できる可能性がある。
一方、CVE-2026-85103は、ASN.1構造向けのVPN証明書パーサー内におけるヒープメモリのオーバーフローに関するもので、セキュリティゲートウェイおよびセキュリティ管理サーバー（Security Management Servers）上でのリモートコード実行につながる可能性もある。
NCSCによると、これら2件の脆弱性が悪用された場合、システムの完全な掌握、機密データの読み取りまたは改変、業務の妨害につながる可能性がある。
影響を受けるバージョンと修正
Check Pointは9月9日に修正を公開し、sk1000117およびsk1000118という2件のセキュリティ通知を同時に発表した。影響を受けるバージョンには、R81.20、R82、R82.10、R81.10.x、R82.00.xに加え、サポート終了済みのR80からR80.40まで、R81、R81.10が含まれる。
R81.20、R82、R82.10向けの修正はCheck Point LivePatch Take 24で提供されている。また、以下のバージョン以降にも組み込まれている。
- R82.10 Jumbo Hotfix Accumulator Take 44
- R82 Jumbo Hotfix Accumulator Take 126
- R81.20 Jumbo Hotfix Accumulator Take 166
- Spark R82.00.10 Build 2325
- Spark R81.10.17 Build 4968
Check Pointは、R82.20はこれら2件の脆弱性の影響を受けないと説明している。
システム管理者が行うべきこと
NCSCの基本的な推奨事項は、セキュリティアップデートを直ちに適用することだ。Site-to-Site VPNコンポーネントを使用している組織については、VPNルールを変更し、アクセス可能な送信元を特定の信頼できるIPアドレスに限定するよう同センターは推奨している。
Check Point Live Patchの利用者は、サーバーを再起動しなくても、9月9日以降に提供された保護を受けているはずだ。ただし、自動緩和機能はR82.10、R82、R81.20以外では利用できず、すべての構成に対応しているわけでもないため、実際の保護状態を確認する必要がある。
この警告が重要な理由
この警告が重要なのは、2件の脆弱性が通信と証明書を扱うVPNコンポーネントに存在しており、想定される悪用が限定的な情報漏えいにとどまらず、コード実行や企業システムの掌握にまで及ぶ可能性があるためだ。NCSCが近く悪用の試みを予想している以上、公開されたPoCが存在しないことによって、修正の優先度が下がるわけではない。各組織にとって実務上の確認ポイントは、使用している正確なバージョンを把握し、LivePatchが自社の構成をカバーしていることを確認するか、自動緩和で十分だと決めつけず、適切な修正をインストールすることである。