Национальный центр кибербезопасности Нидерландов (NCSC) предупредил, что эксплуатация двух критических уязвимостей в решении Check Point VPN может начаться в ближайшее время, и призвал организации как можно скорее установить обновления безопасности. Публичное доказательство концепции (PoC) пока не опубликовано, однако оценка центра вероятности эксплуатации и её последствий оказалась высокой.
Две уязвимости могут привести к удалённому выполнению кода
Первая уязвимость имеет идентификатор CVE-2026-85102 и связана с некорректной проверкой данных сертификатов во время согласования VPN-соединения. Удалённый злоумышленник может воспользоваться ею для выполнения выбранного им кода на шлюзе безопасности (Security Gateway).
Уязвимость CVE-2026-85103 связана с переполнением памяти в куче внутри анализатора VPN-сертификатов для структуры ASN.1 и также может позволить удалённое выполнение кода на шлюзах безопасности и серверах управления безопасностью (Security Management Servers).
По данным NCSC, эксплуатация этих двух уязвимостей может привести к полному захвату системы, чтению или изменению конфиденциальных данных и нарушению работы.
Затронутые версии и исправления
Check Point выпустила исправления 9 сентября одновременно с публикацией двух уведомлений безопасности с кодами sk1000117 и sk1000118. К затронутым версиям относятся R81.20, R82, R82.10, R81.10.x и R82.00.x, а также версии, достигшие конца срока поддержки: R80–R80.40, R81 и R81.10.
Исправления доступны через Check Point LivePatch Take 24 для версий R81.20, R82 и R82.10, а также включены в следующие или более поздние версии:
- R82.10 Jumbo Hotfix Accumulator Take 44
- R82 Jumbo Hotfix Accumulator Take 126
- R81.20 Jumbo Hotfix Accumulator Take 166
- Spark R82.00.10 Build 2325
- Spark R81.10.17 Build 4968
Check Point уточнила, что версия R82.20 не затронута этими двумя уязвимостями.
Что следует сделать системным администраторам?
Основная рекомендация NCSC — немедленно установить обновления безопасности. Организациям, использующим компонент Site-to-Site VPN, ведомство рекомендует изменить правила VPN так, чтобы доступ был разрешён только с определённых доверенных IP-адресов.
Пользователи Check Point Live Patch, предположительно, получили доступную защиту с 9 сентября даже без перезапуска сервера. Однако следует фактически проверить состояние защиты, поскольку автоматический механизм устранения последствий доступен не для всех версий, кроме R82.10, R82 и R81.20, и не поддерживает все конфигурации.
Почему это предупреждение важно?
Важность предупреждения заключается в том, что обе уязвимости находятся в компонентах VPN, обрабатывающих соединения и сертификаты, а потенциальная эксплуатация не ограничивается раскрытием небольшого объёма информации, но может привести к выполнению кода и захвату корпоративных систем. Поскольку NCSC ожидает попыток эксплуатации в ближайшее время, отсутствие публичного PoC не отменяет приоритетность установки исправлений. Практическая задача каждой организации — определить точную используемую версию, убедиться, что LivePatch охватывает её конфигурацию, или установить соответствующее исправление вместо предположения, что автоматического устранения последствий достаточно.