Check Pointは、Security Gateway製品のVPN証明書処理機能における、認証前のリモートコード実行脆弱性を攻撃者が積極的に悪用していることを確認した。この脆弱性にはCVE-2026-85102という識別子が付与されており、公開状態のVPNゲートウェイは、ユーザーが身元を証明する前の侵入口となる可能性がある。
同社の通知は、Management web serviceに影響する、経路外アクセスの脆弱性であるCVE-2026-93616という識別子の2件目の脆弱性についても悪用を警告している。この脆弱性により、スクリプトの実行やJavaクラスの読み込みが可能になる場合があり、Check Pointによれば、2026年7月23日以降、ゼロデイ脆弱性として悪用されている。
Check Pointが検知したものとは？
オランダ国立サイバーセキュリティセンターは9月10日、Security Gatewayの問題を指摘し、差し迫った悪用に備えて利用可能な更新プログラムをインストールするよう利用者に促した。Check Pointによれば、悪用の試みの波は9月12日に始まり、Sparkの顧客を標的にしており、攻撃元を隠すためにVPNサービスとプロキシが使用されていた。
同社は、以下のサブジェクトを持つ証明書を検知した：CN=vpn,OU=users,O=global、CN=vpn-user,OU=users,O=global、CN=vpnuser,OU=users,O=global。ただし、これらの値は現在の検知結果のみを反映しており、攻撃者が別のサブジェクトを使用する可能性があると説明している。
CISAは両脆弱性をKnown Exploited Vulnerabilitiesカタログに追加し、米国連邦政府機関に対し、2026年9月25日までに修正または緩和策を適用するよう求めた。
システム管理者は何をすべきか？
CVE-2026-85102について、Check Pointは、R81.20、R82、またはR82.10のバージョンで稼働するサポート対象ゲートウェイにLivePatch Take 26をインストールするか、R81.20 Take 166、R82 Take 126、R82.10 Take 44、R81.10 Take 190、またはそれ以降のバージョンのJumbo Hotfixをインストールするよう推奨している。また、SparkファイアウォールはR82.00.10 Build 2325またはR81.10.17 Build 4968、あるいはそれ以降に更新する必要がある。
LivePatchが有効になっているかどうかは、Security Gateway上でexpertモードに入り、cpinfo -y CPupdatesコマンドを実行して確認できる。同社は、以前にオフラインのLivePatchパッケージをインストールした一部の顧客について、完全な保護を得るためにTake 26が必要になると注意喚起している。
更新できない場合の緩和策
更新プログラムをインストールできない場合、Check Pointは、暗黙のVPNルールを無効にし、UDP/500およびUDP/4500のポートでSite-to-Site VPNを特定のピアIPアドレスに制限する明示的なルールを作成するよう推奨している。Remote Access VPNについては、必要に応じてUDP/500、UDP/4500、TCP/443、TCP/80を介して許可するサービスを必要なものに限定し、可能な限り送信元クライアントアドレスの範囲を制限する必要がある。
Check Pointは、これらの対策はローカル管理のSparkファイアウォールには適用されないと説明している。また、CVE-2026-93616については、緩和策と侵害の痕跡の検索に関する手順を含むサポート記事を参照するよう案内している。
なぜこのニュースが重要なのか？
悪用の予測から悪用の確認へと状況が変化したことで、実務上の対応優先度は高まっている。特に、一方の脆弱性は認証を必要とせず、もう一方は公開前に悪用されていたためである。ただし、情報源は被害者数や標的となったデータの性質を明らかにしていない。そのため、実務上の優先事項は、影響を受けるゲートウェイの特定、パッチ適用状況の確認、VPNおよび管理サービスのログを調査して異常な活動を探すことである。