NCSC alerta sobre posible explotación inminente de dos fallas críticas en Check Point VPN
NCSC alerta sobre posible explotación inminente de dos fallas críticas en Check Point VPN
CVE-2026-85102 y CVE-2026-85103 permiten ejecución remota de código sin autenticación en gateways y servidores de gestión Check Point. Aunque no existe evidencia pública de explotación, el NCSC neerlandés espera intentos a corto plazo y recomienda actualizar con urgencia.
Qué ocurrió
El Centro Nacional de Ciberseguridad de Países Bajos elevó la urgencia de dos vulnerabilidades críticas en productos VPN de Check Point. Ambas recibieron una puntuación CVSS 9,8 y pueden permitir ejecución remota de código sin credenciales.
El organismo evalúa como altas tanto la probabilidad de abuso como el daño potencial y espera intentos de explotación a corto plazo. Check Point, sin embargo, indica que no tiene evidencia de explotación activa y no se ha informado de una prueba de concepto pública; esta diferencia debe conservarse para no presentar una amenaza prevista como un compromiso ya confirmado.
Cómo funcionan las vulnerabilidades
CVE-2026-85102 se origina en la validación incorrecta de datos de certificados durante la negociación VPN. Un atacante remoto no autenticado puede eludir controles y ejecutar código arbitrario en un Security Gateway o Spark Firewall que utilice VPN Site-to-Site o Remote Access.
CVE-2026-85103 es un desbordamiento de memoria en la decodificación ASN.1 de certificados VPN. Su explotación puede ejecutar código remotamente tanto en Quantum Security Gateway como en Quantum Security Management Server y equipos Spark afectados.
Versiones y riesgo operativo
Las alertas incluyen R81.20, R82, R82.10, R81.10.x y R82.00.x, además de ramas R80 a R81.10 que ya terminaron soporte. R82.20 no está afectada. Una explotación exitosa podría entregar control del perímetro VPN, acceso a información confidencial y una posición privilegiada para interrumpir operaciones o avanzar hacia redes internas.
El riesgo es mayor en gateways expuestos a internet y en infraestructuras donde el mismo plano de gestión controla múltiples dispositivos. Los sistemas fuera de soporte deben migrarse porque no ofrecen una base sostenible para responder a nuevas vulnerabilidades.
Actualización y mitigaciones
Check Point distribuye la corrección mediante LivePatch Take 24 para R81.20, R82 y R82.10, además de Jumbo Hotfix Accumulators y compilaciones corregidas para Spark. Los administradores deben verificar que la protección esté realmente activa y no asumir que la configuración automática se completó.
- Aplicar R82.10 Jumbo Hotfix Accumulator Take 44, R82 Take 126 o R81.20 Take 166, o una versión posterior compatible.
- En Spark, actualizar como mínimo a R82.00.10 Build 2325 o R81.10.17 Build 4968, según la rama.
- Validar LivePatch con cpinfo -y CPupdates y cplp list en cada gateway, miembro de clúster o grupo de seguridad.
- Para Site-to-Site VPN, deshabilitar las reglas implícitas y permitir UDP/500 y UDP/4500 únicamente desde las direcciones de pares autorizados cuando la arquitectura lo permita.
- Restringir el acceso al plano de administración, conservar registros de negociación VPN y vigilar caídas, reinicios o procesos inesperados asociados a los servicios de certificados y VPN.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1BleepingComputer ↗prensa especializada
- 2NCSC de Países Bajos ↗oficial
- 3Check Point — CVE-2026-85102 ↗fabricante
- 4Check Point — CVE-2026-85103 ↗fabricante
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista