Kritische Lücken in Check-Point-Firewalls: Jetzt patchen

Check Point hat zwei kritische Schwachstellen in seinen Firewall- und VPN-Produkten geschlossen. Beide erlauben Angreifern aus dem Netz, ohne gültige Anmeldedaten Schadcode auf dem Gerät auszuführen – und damit potenziell die vollständige Kontrolle über die Firewall zu übernehmen. Betroffen sind auch die Spark-Appliances, die typischerweise in kleineren Unternehmen stehen.

Was ist passiert?

Check Point hat am 7. September 2026 eine Sicherheitsmeldung veröffentlicht und am 9. September aktualisiert. Sie beschreibt zwei Lücken, beide mit dem Höchstwert-nahen CVSS-Score 9.8 (kritisch):

• CVE-2026-85102 – eine fehlerhafte Zertifikatsprüfung während der VPN-Aushandlung.
• CVE-2026-85103 – ein Heap-Überlauf beim Verarbeiten von ASN.1-Zertifikatsdaten.

In beiden Fällen genügt eine Netzwerkverbindung zum Gerät. Es ist keine Anmeldung und keine Benutzerinteraktion nötig, um Code auszuführen (unauthenticated Remote Code Execution). Nach eigenen Angaben hat Check Point die Fehler intern entdeckt; zum Zeitpunkt der Veröffentlichung gab es keine Hinweise auf aktive Angriffe. Bei Perimeter-Geräten mit einem so hohen Risikowert ändert sich das erfahrungsgemäß aber schnell, sobald ein Exploit kursiert.

Wer ist betroffen?

Betroffen sind Check-Point-Geräte, auf denen die VPN-Funktion aktiv ist, über die verwundbaren Software-Versionsreihen:

• Security Gateway (CVE-2026-85102 und CVE-2026-85103)
• Security Management Server (CVE-2026-85103)
• Spark Firewall – die Appliance-Reihe für kleine Standorte und KMU (beide Lücken)

Nach Herstellerangaben sind die Release-Stränge R81.20, R82 und R82.10 betroffen; R82.20 gilt als nicht verwundbar. Ältere, nicht mehr unterstützte Versionen (R80.x, R81, R81.10) erhalten in der Regel keine Fixes mehr. Gerade Firewalls sind direkt aus dem Internet erreichbar – deshalb wiegt eine unauthentifizierte Lücke hier besonders schwer.

Was jetzt zu tun ist

1. Bestand prüfen: Läuft eine Check-Point-Firewall oder ein Spark-Gerät im Einsatz, und ist die VPN-Funktion aktiviert? Notieren Sie die installierte Version (Release-Strang und Jumbo-Hotfix-Stand).
2. Update einspielen: Aktualisieren Sie auf den vom Hersteller genannten Jumbo-Hotfix-Stand für Ihren Release-Strang. Die exakten „Take“-Nummern stehen in der offiziellen Check-Point-Sicherheitsmeldung – bitte dort die passende Version abgleichen.
3. Live Patch nutzen: Systeme mit aktiviertem Check Point Live Patch werden laut Hersteller ab dem 9. September 2026 automatisch geschützt. Prüfen Sie, ob diese Funktion aktiv ist.
4. End-of-Support-Geräte ersetzen: Läuft noch eine nicht mehr unterstützte Version, hilft nur ein Upgrade auf einen gepflegten Release-Strang – für diese Altversionen gibt es keinen Fix.
5. Zugriff einschränken: Wo möglich, das Management-Interface nicht offen ins Internet stellen und den VPN-Zugang absichern, bis der Patch sitzt.

So hilft Binary System Services

Wir prüfen für Sie, welche Ihrer Netzwerk- und Firewall-Geräte betroffen sind, gleichen die installierten Versionen mit den Herstellervorgaben ab und spielen die nötigen Updates kontrolliert ein – ohne Ausfall Ihres Internetzugangs. Über unser Monitoring behalten wir kritische Perimeter-Systeme im Blick und melden neue Schwachstellen, bevor sie zum Problem werden. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.