Check Point alerta de dos fallos críticos en VPN explotados sin autenticación: qué deben revisar las empresas

Check Point ha corregido dos vulnerabilidades críticas relacionadas con VPN que pueden permitir la ejecución remota de código sin autenticación bajo determinadas condiciones. Los fallos, identificados como CVE-2026-85102 y CVE-2026-85103, afectan a productos de seguridad utilizados para conexiones VPN y gestión de redes. Ambos tienen una puntuación CVSS de 9,8.

Aunque en el aviso inicial de septiembre de 2026 Check Point indicó que no había indicios de explotación activa, días después confirmó que CVE-2026-85102 está siendo explotada en la naturaleza. A partir del 12 de septiembre se observaron intentos de ataque contra clientes Spark desde infraestructura de anonimización (VPN y proxies). Los atacantes utilizaban certificados con sujetos como CN=vpn,OU=users,O=global y variantes similares.

Qué vulnerabilidades se han corregido

Las dos vulnerabilidades permiten, en escenarios concretos, ejecución remota de código sin necesidad de autenticación previa.

• CVE-2026-85102: validación incorrecta de datos de certificados durante la negociación VPN. Afecta a Security Gateway y Check Point Spark Firewall (tanto gestionados centralmente como de forma local) cuando usan Site-to-Site VPN o Remote Access VPN. Versiones afectadas incluyen R81.20, R82 y R82.10 con determinados niveles de Jumbo Hotfix.
• CVE-2026-85103: desbordamiento de memoria (heap overflow) en el procesamiento ASN.1 de certificados VPN. Afecta a Security Management Server, Security Gateway y Spark Firewall. También se clasifica como crítica (CVSS 9,8).

Existe además un tercer fallo relacionado, CVE-2026-93616, una vulnerabilidad de path traversal pre-autenticación en el servicio web de gestión que ha sido explotada de forma puntual desde julio de 2026.

Qué productos y versiones están afectados

Los sistemas afectados incluyen Security Gateway, Security Management Server y Check Point Spark Firewall en las ramas R81.20, R82 y R82.10 (con Jumbo Hotfix por debajo de los takes de corrección). Las versiones end-of-support (R81 y anteriores) también están expuestas si siguen en producción.

Check Point ha publicado LivePatch y Jumbo Hotfix de emergencia. Para R82.10 se recomienda Take 44 o superior; para R82, Take 126; para R81.20, Take 166. Quienes tengan LivePatch automático habilitado ya deberían estar protegidos tras la actualización correspondiente.

Explotación activa confirmada

Según el aviso actualizado de Check Point, a partir del 12 de septiembre de 2026 se detectaron oleadas de intentos de explotación de CVE-2026-85102 dirigidos especialmente a clientes Spark. Los ataques procedían de servicios de VPN y proxies de anonimización. El fabricante recomienda aplicar el parche de forma inmediata y revisar los registros de los equipos que hayan estado expuestos sin la corrección.

Una vulnerabilidad remota sin autenticación en un dispositivo que expone servicios VPN merece la máxima prioridad. Estos sistemas suelen encontrarse en el perímetro de la red y pueden convertirse en un punto de entrada con acceso a recursos internos.

Qué debe revisar una empresa

El primer paso es identificar qué dispositivos Check Point están desplegados y qué versión de software y Jumbo Hotfix utilizan. No basta con saber que la organización tiene «un firewall»: hay que comprobar el modelo, la versión exacta y el nivel de actualización.

1. Inventariar gateways y firewalls expuestos a Internet.
2. Comprobar versiones de R82.10, R82 y R81.20 y los hotfix instalados.
3. Aplicar el Jumbo Hotfix o LivePatch correspondiente siguiendo las instrucciones del fabricante (sk1000117 y sk1000118).
4. Revisar los registros VPN y las conexiones anómalas si el equipo estuvo expuesto sin parchear.
5. Verificar sistemas de gestión además de los gateways de acceso remoto.
6. Comprobar si hay indicios de los sujetos de certificado observados en los ataques (CN=vpn, CN=vpn-user, etc.).

Qué hacer si no puedes parchear inmediatamente

Check Point ha publicado medidas de mitigación temporales. En el caso de Site-to-Site VPN, recomienda deshabilitar las reglas implícitas de VPN y definir de forma explícita el acceso solo a los pares autorizados en los puertos UDP/500 (IKE) y UDP/4500 (NAT-T).

Estas mitigaciones no son equivalentes a instalar el parche. Su utilidad es reducir la exposición mientras se prepara la actualización y siempre deben comprobarse contra la versión concreta del producto. En Spark Firewall gestionado localmente algunas mitigaciones no aplican.

Por qué las VPN son un objetivo especialmente sensible

Los gateways VPN concentran una función crítica: permiten que usuarios y redes remotas accedan a recursos internos. Un fallo en el procesamiento de certificados o en la negociación de la conexión puede afectar al perímetro antes incluso de que un atacante disponga de una cuenta válida.

Por eso las vulnerabilidades de ejecución remota en dispositivos VPN suelen requerir una respuesta rápida. La prioridad no viene solo de la puntuación CVSS, sino de la combinación de exposición a Internet, falta de autenticación previa y posición del dispositivo dentro de la arquitectura de red.

La recomendación práctica

Si tu empresa utiliza Check Point para VPN o gestión de seguridad, la acción útil no es esperar a que aparezca una campaña más amplia de explotación. Comprueba hoy mismo la versión, el hotfix y la exposición de los dispositivos afectados. Si están vulnerables, aplica la actualización del fabricante y revisa los logs de los equipos que hayan estado expuestos.

Las referencias oficiales son el Security Advisory de Check Point, las knowledge base sk1000117 (CVE-2026-85102) y sk1000118 (CVE-2026-85103), y los análisis técnicos publicados por SecurityWeek y otros medios especializados.

Fuentes: Check Point Security Advisory, sk1000117, sk1000118, SecurityWeek, 4sysops y CVE.org. La explotación activa de CVE-2026-85102 fue confirmada a partir del 12 de septiembre de 2026.

Relacionado en BitZeta: Android Security State Libraries y seguridad móvil.

Fuente oficial: INCIBE-CERT.