네덜란드 국가사이버보안센터(NCSC)는 Check Point VPN 솔루션의 심각한 취약점 2건에 대한 악용이 곧 시작될 수 있다고 경고하며, 조직에 가능한 한 신속하게 보안 업데이트를 설치할 것을 촉구했다. 아직 공개적으로 이용 가능한 개념 증명(PoC)은 공개되지 않았지만, 악용 가능성과 영향에 대한 NCSC의 평가는 높았다.
원격 코드 실행으로 이어질 수 있는 2건의 취약점
첫 번째 취약점의 식별자는 CVE-2026-85102이며, VPN 연결 협상 과정에서 인증서 데이터를 올바르게 검증하지 않는 문제와 관련이 있다. 원격 공격자는 이를 악용해 보안 게이트웨이(Security Gateway)에서 자신이 선택한 코드를 실행할 수 있다.
CVE-2026-85103은 ASN.1 구조 전용 VPN 인증서 파서 내부의 힙 메모리 버퍼 오버플로와 관련이 있으며, 보안 게이트웨이와 보안 관리 서버(Security Management Servers)에서도 원격 코드 실행을 허용할 수 있다.
NCSC에 따르면 두 취약점의 악용은 시스템에 대한 완전한 장악, 기밀 데이터의 열람 또는 수정, 운영 중단으로 이어질 수 있다.
영향받는 버전 및 패치
Check Point는 9월 9일 패치를 발표하면서 sk1000117 및 sk1000118이라는 두 보안 공지도 함께 공개했다. 영향받는 버전에는 R81.20, R82, R82.10, R81.10.x, R82.00.x와 지원이 종료된 버전인 R80부터 R80.40까지, R81 및 R81.10이 포함된다.
R81.20, R82, R82.10 버전에서는 Check Point LivePatch Take 24를 통해 패치를 이용할 수 있으며, 다음 버전 또는 그 이후 버전에도 포함되어 있다.
- R82.10 Jumbo Hotfix Accumulator Take 44
- R82 Jumbo Hotfix Accumulator Take 126
- R81.20 Jumbo Hotfix Accumulator Take 166
- Spark R82.00.10 Build 2325
- Spark R81.10.17 Build 4968
Check Point는 R82.20 버전은 두 취약점의 영향을 받지 않는다고 밝혔다.
시스템 관리자는 무엇을 해야 하는가?
NCSC의 기본 권고는 보안 업데이트를 즉시 적용하는 것이다. Site-to-Site VPN 구성 요소를 사용하는 조직에 대해서는 VPN 규칙을 수정해 접근 가능 대상을 특정되고 신뢰할 수 있는 IP 주소로 제한할 것을 권고했다.
Check Point Live Patch 사용자는 서버를 재시작하지 않더라도 9월 9일부터 제공되는 보호 기능을 이미 적용받았어야 한다. 그러나 자동 완화 메커니즘은 R82.10, R82, R81.20 외부에서는 제공되지 않으며 모든 구성을 지원하지도 않으므로, 실제 보호 상태를 확인해야 한다.
이 경고가 중요한 이유
이 경고가 중요한 이유는 두 취약점이 연결과 인증서를 처리하는 VPN 구성 요소에 존재하며, 잠재적인 악용이 제한적인 정보 노출에 그치지 않고 코드 실행과 기업 시스템 장악으로 이어질 수 있기 때문이다. NCSC가 곧 악용 시도를 예상하고 있는 만큼, 공개 PoC가 없다는 사실이 패치 적용의 우선순위를 낮추지는 않는다. 각 조직이 실제로 확인해야 할 핵심 사항은 사용 중인 정확한 버전을 파악하고, LivePatch가 해당 구성을 적용 대상으로 포함하는지 확인하거나, 자동 완화로 충분하다고 가정하지 말고 적절한 패치를 설치하는 것이다.