CVE-2026-85102 en Check Point: vulnerabilidad crítica en VPN explotada activamente

Si tu empresa depende de una VPN de Check Point para conectar oficinas o dar acceso remoto, esto te afecta directamente. Desde el 12 de septiembre de 2026 se están explotando activamente los gateways de Check Point a través de un fallo en la validación de certificados durante la negociación VPN (CVE-2026-85102, CVSS 9,8): un atacante remoto, sin credenciales, puede ejecutar código arbitrario en tu gateway. CISA ha incluido esta vulnerabilidad en su catálogo KEV, fijó como fecha límite de remediación el 25 de septiembre —que ya ha pasado— y exige realizar un triaje forense en los equipos afectados (su vinculación con campañas de ransomware (secuestro de datos con extorsión) es, por ahora, desconocida). Si no has parcheado, hazlo ahora.

Qué ha pasado

El fallo reside en cómo el Security Gateway (pasarela de seguridad) de Check Point valida los certificados que recibe durante el establecimiento del túnel VPN. Una validación incorrecta (Improper Certificate Validation, CWE-295) permite que un atacante envíe un certificado manipulado y consiga ejecutar código en el equipo sin autenticarse previamente.

La gravedad es máxima: CVSS 9,8 sobre 10, con acceso por red, sin complejidad técnica elevada y sin requerir interacción del usuario. Esto significa que cualquier gateway expuesto a internet con VPN habilitada es un objetivo directo.

Cronología resumida:

• 9 de septiembre de 2026 — Check Point publica el aviso (sk1000117) y el parche. NVD registra el CVE.
• 12 de septiembre de 2026 — Comienzan los ataques activos contra clientes Spark a nivel global, desde infraestructura de anonimización (servicios VPN y proxies).
• 14 de septiembre de 2026 — Check Point actualiza el aviso: los clientes con LivePatch offline en versiones antiguas de Jumbo Hotfix deben instalar LivePatch Take 26 por un escenario adicional detectado.
• 20 de septiembre de 2026 — Check Point confirma públicamente la explotación activa en Spark Firewalls.
• 22 de septiembre de 2026 — CISA añade CVE-2026-85102 a su catálogo KEV con fecha límite de remediación el 25 de septiembre. Check Point publica un aviso conjunto que incluye también CVE-2026-93616, una vulnerabilidad zero-day (de día cero, sin parche previo al ataque) distinta en Security Management.

Los certificados observados en los ataques hasta ahora usan subjects como CN=vpn,OU=users,O=global, CN=vpn-user,OU=users,O=global y CN=vpnuser,OU=users,O=global. Check Point advierte de que la lista no es exhaustiva y podrían emplearse otros subjects.

¿Afecta a mi empresa?

Productos afectados: Security Gateway y Spark Firewall (gestión centralizada y local) que utilicen Site-to-Site VPN (VPN entre sedes) o Remote Access VPN (VPN de acceso remoto).

Versiones afectadas:

• R82.10 con Jumbo Hotfix Take 43 o inferior
• R82 con Jumbo Hotfix Take 125 o inferior
• R81.20 con Jumbo Hotfix Take 165 o inferior
• R81.10.x, R82.00.x
• Versiones fuera de soporte (EoS): R80, R80.10, R80.20, R80.30, R80.40, R81, R81.10

Versión no afectada: R82.20.

Matiz importante para Site-to-Site VPN: si tu gateway participa únicamente en comunidades de cifrado con pre-shared key (clave precompartida), no es vulnerable. Sin embargo, si usas Dynamic IP Gateways (DAIP) o Large Scale VPN (LSV), la autenticación por certificado se habilita automáticamente y sí estás expuesto.

En el caso de Remote Access VPN, cualquier configuración con las versiones afectadas es vulnerable. No hay excepciones por tipo de autenticación.

Qué hacer, paso a paso

1. Parchear de inmediato

Es la medida prioritaria. Tienes dos opciones:

Opción A — Check Point LivePatch Take 26 (disponible para R82.10, R82 y R81.20):

• Si tienes la instalación automática de LivePatch habilitada, la protección ya debería estar aplicada. Verifícalo.
• Si no, descarga el paquete offline correspondiente a tu versión desde el aviso sk1000117 e instálalo manualmente.

Opción B — Jumbo Hotfix Accumulator:

• R82.10: Take 44 o superior
• R82: Take 126 o superior
• R81.20: Take 166 o superior
• R81.10: Take 190 o superior

Para Spark Firewalls:

• R82.00.10: Build 2325 o superior
• R81.10.17: Build 4968 o superior

Nota: si instalaste el paquete offline de LivePatch y ejecutas R82.10 Take 24 o inferior, R82 Take 107 o inferior, o R81.20 Take 146 o inferior, debes instalar igualmente LivePatch Take 26 por un escenario adicional identificado por Check Point.

2. Mitigar si no puedes parchear todavía

Aplica estas medidas solo como solución temporal, con precaución para no cortar la conectividad:

• Site-to-Site VPN: deshabilita las implied rules (reglas implícitas) de VPN y define manualmente el acceso VPN para UDP/500 y UDP/4500 restringiendo a las IPs concretas de tus peers (consulta sk179346).
• Remote Access VPN: deshabilita las implied rules de Remote Access VPN y crea reglas explícitas de Access Control (control de acceso) permitiendo UDP/500 (IKE), UDP/4500 (NAT-T), TCP/443 (SSL) y TCP/80 cuando aplique. Restringe por rangos de IP de los clientes si es posible.

Importante: la mitigación manual no es aplicable a Spark Firewall gestionado localmente. En ese caso, la única opción es actualizar el firmware.

3. Buscar indicios de compromiso y realizar triaje forense

CISA exige triaje forense en los equipos afectados. Empieza revisando los logs en SmartConsole o Spark Management:

product: "Mobile Access" AND action: "Log In" AND "Certificate"

Filtra por eventos posteriores al 12 de septiembre de 2026. Busca usuarios, clientes o IPs de origen que no reconozcas. Presta especial atención a los subjects de certificado mencionados antes, pero no te limites a ellos.

Si detectas accesos no autorizados, investiga actividad de segunda fase: escaneos de puertos y servicios internos desde esos usuarios sospechosos. Documenta los hallazgos como parte del triaje forense requerido.

4. Verificar que el parche está activo

En modo Expert del Security Gateway o miembro ClusterXL:

cpinfo -y CPupdates

Deberías ver una línea como BUNDLE_URGENT_SECURITY_UPDATE_R82_AUTOUPDATE Take: 26 (adaptada a tu versión). Para confirmar que LivePatch está activo:

cplp list

En plataformas escalables (Scalable Platform Security Group):

g_all cplp list

La salida esperada debe incluir referencias a CVE-2026-85102 en los módulos cpcert:cpca*, cpcert:iked*, cpcert:vpn*, cpcert:vpnrad* y cpcert_cprid:cprid*.

5. Evaluar también CVE-2026-93616

En el mismo aviso conjunto, Check Point reveló CVE-2026-93616, una vulnerabilidad de path traversal (recorrido de rutas) preautenticación en Security Management (CVSS 9,8), con explotación limitada observada el 23 de julio de 2026. Si gestionas tus gateways con Security Management en versiones R82.20 o anteriores, consulta el aviso sk1000171 y aplica el parche correspondiente. LivePatch Take 28/29 no corrige este segundo fallo.

6. Reforzar la postura a medio plazo

• Mantén un inventario actualizado de todos los dispositivos Check Point y sus versiones de firmware y hotfix.
• Habilita la instalación automática de LivePatch para recibir correcciones urgentes sin intervención manual.
• Minimiza la exposición a internet de las interfaces de gestión.
• Si aún tienes versiones fuera de soporte (R80.x, R81), planifica la migración: no hay garantía de parches futuros para ellas.

En resumen

• Parchea hoy: LivePatch Take 26 o Jumbo Hotfix Accumulator a la versión corregida correspondiente. El plazo de CISA ya ha vencido.
• Si no puedes parchear: aplica la mitigación manual restringiendo las implied rules de VPN (excepto en Spark local, donde solo vale actualizar).
• Revisa los logs de Mobile Access buscando inicios de sesión basados en certificado desde el 12 de septiembre y realiza el triaje forense que exige CISA. Cualquier acceso no reconocido requiere investigación inmediata.
• Comprueba también CVE-2026-93616 si usas Security Management: es otro fallo crítico con parche independiente.
• Versiones fuera de soporte (R80.x, R81) están afectadas y sin garantía de cobertura completa. Si las tienes en producción, es momento de planificar la actualización.