Check Point bekräftar aktiv exploatering av VPN-sårbarheter i Security Gateway

Cybersäkerhetsföretaget Check Point har bekräftat aktiv exploatering av CVE-2026-85102, en sårbarhet för fjärrkörning av kod före autentisering i VPN-funktionen för certifikathantering i produkten Security Gateway.

Företagets varning gäller också CVE-2026-93616, en sökvägssårbarhet före autentisering som påverkar webbtjänsten Management. Sårbarheten kan möjliggöra körning av skript och inläsning av Java-klasser. Check Point uppger att CVE-2026-93616 har exploaterats som en zero-day sedan July 23.

Nederländska Nationaal Cyber Security Centrum varnade användare den September 10. Check Point uppgav att den skadliga aktiviteten mot Spark-kunder började den September 12, 2026. Försöken kom från VPN-tjänster och proxyservrar. Check Point sade att tre certifikat-subjekt endast speglar aktuella observationer och att fler kan vara i bruk.

CISA har lagt till båda sårbarheterna i katalogen Known Exploited Vulnerabilities och uppmanat federala myndigheter att tillämpa korrigeringar eller begränsningsåtgärder senast September 25, 2026. Check Point rekommenderar LivePatch Take 26 för gateways med R81.20, R82 och R82.10, eller de korrigerade Jumbo Hotfix-versionerna R81.20 Take 166, R82 Take 126, R82.10 Take 44 och R81.10 Take 190 eller senare. Spark-brandväggar bör uppdateras till R82.00.10 Build 2325 eller R81.10.17 Build 4968 eller senare.

Varningen listar också VPN-begränsningar som vid behov omfattar UDP/500, UDP/4500, TCP/443 och TCP/80. Check Point uppger att åtgärderna inte gäller lokalt administrerade Spark-brandväggar.