Check Point ha confirmado explotación activa de CVE-2026-85102, una vulnerabilidad de ejecución remota de código previa a autenticación en el tratamiento de certificados durante la negociación VPN de sus Security Gateway y determinados Spark Firewall.
El fabricante publicó correcciones el 9 de septiembre de 2026. Posteriormente indicó que había observado intentos de explotación contra clientes Spark desde el 12 de septiembre. CISA añadió la vulnerabilidad a KEV el 22 de septiembre.
Productos y condiciones afectadas
El aviso del fabricante incluye Security Gateway, Spark Firewall administrado centralmente y Spark Firewall administrado localmente. Enumera ramas R81 fuera de soporte, R81.10, R81.10.X, R81.20, R82, R82.00.X y R82.10.
La exposición depende de que el gateway utilice o permita VPN de acceso remoto o VPN de sitio a sitio. Las versiones y paquetes aplicables deben comprobarse en el artículo sk1000117 porque el remedio concreto varía por rama y modelo.
Qué ocurre y cuál es el impacto
Una validación incorrecta de datos de certificado durante la negociación VPN puede permitir que un atacante remoto sin autenticar ejecute código arbitrario en el gateway. Un dispositivo perimetral comprometido puede afectar confidencialidad, integridad, disponibilidad y confianza en las conexiones que protege.
Está confirmado que existe explotación. No está determinado, solo por usar una versión afectada, que un dispositivo concreto haya sido comprometido. Esa conclusión necesita registros, telemetría y análisis.
Cómo comprobar la exposición
- Inventaría todos los gateways, incluidos equipos de sucursal y appliances Spark.
- Registra rama, build, Jumbo Hotfix o LivePatch y modalidad de administración.
- Confirma si están habilitadas VPN de acceso remoto o sitio a sitio.
- Contrasta el estado con sk1000117 y no deduzcas protección únicamente por una fecha de actualización.
- Revisa eventos VPN, certificados anómalos, procesos, cambios de configuración y conexiones salientes inusuales.
Acciones prioritarias
- Aplica la corrección oficial adecuada al producto siguiendo el procedimiento del fabricante.
- Protege la configuración actual y prepara reversión conforme al soporte de Check Point.
- Realiza triaje porque el parche evita nuevas explotaciones, pero no elimina una intrusión previa.
- Restringe exposición a lo estrictamente necesario mientras completas la intervención.
- Renueva credenciales o material sensible si el análisis confirma compromiso, siguiendo un plan coordinado.
No confundas parche con investigación
Un appliance que se actualiza correctamente puede haber recibido tráfico malicioso antes. Conservar logs y estado resulta esencial. Si aparecen indicios, coordina contención, recogida de evidencias y recuperación; reiniciar o restablecer sin preservar información puede dificultar el diagnóstico.
Conclusión
La ubicación perimetral, la ausencia de autenticación y la explotación confirmada convierten CVE-2026-85102 en una prioridad basada en riesgo real. El trabajo debe combinar parche, comprobación de exposición y triaje.
Fuentes oficiales: Check Point sk1000117; actualización de Check Point, 22/09/2026; CISA, 22/09/2026; NVD.
