CVE-2026-85102 y CVE-2026-85103 en Check Point: cómo proteger tu servidor VPN

Por qué importan estos CVE de Check Point

El 9 de septiembre de 2026, Check Point publicó dos advisories de severidad crítica que afectan a Security Gateway, Security Management y Spark Firewall en las ramas R81, R81.10, R81.20, R82, R82.00.X y R82.10. Ambos bugs se disparan antes de la autenticación durante el handshake VPN, así que un atacante remoto sin credenciales puede conseguir ejecución de código con privilegios de root en el appliance que está protegiendo tu perímetro. La rama fija es R82.20; las ramas anteriores reciben el fix vía Jumbo Hotfix Accumulator y, si tienes LivePatch habilitado, el parche ya se instaló solo.

Aunque el advisory oficial de Check Point todavía no publica un exploit público, los bugs de RCE sin autenticación sobre infraestructura VPN expuesta a Internet tienen un historial de weaponización en horas. Beazley Security y CERT-EU clasificaron ambos como de prioridad operativa inmediata. Si adminstras Check Point Quantum, este post te lleva del diagnóstico a la mitigación en orden de menor a mayor downtime.

Qué CVEs son y cómo se disparan

Los dos vulnerabilidades comparten vector (handshake VPN sobre UDP 500/4500) pero atacan dos superficies distintas dentro del manejo de certificados:

CVE	CVSS	Superficie	Efecto	Productos afectados
CVE-2026-85102	9.8	Validación de trust de certificados durante la negociación VPN	Permite avanzar la sesión lo suficiente para ejecutar código sin autenticarse	Security Gateway, Spark Firewall con VPN
CVE-2026-85103	9.8	Heap overflow en el decoder ASN.1 de los certificados VPN	Un certificado malformado corrompe la heap; de ahí a RCE	Security Gateway + Security Management

El detalle técnico confirmado es que ambas fallas se procesan antes de validar la identidad del peer, lo que coloca al appliance en el peor escenario posible: Internet-facing, sin autenticación previa y con RCE como root. No hay workaround que mantenga la operatividad completa de la VPN sin parchar; las dos mitigaciones temporales documentadas por Check Point implican perder túneles de peers no explícitamente autorizados.

Aplica el fix en este orden

Antes de tocar nada, confirma la rama y el estado de LivePatch. Todo lo demás depende de este punto.

# 1) Identifica la rama exacta en el Gateway
[Expert@GW:0]# fw ver
# Salida esperada (ejemplo): R82.10 - Build 123
# 2) Verifica si LivePatch ya aplicó el fix
[Expert@GW:0]# cplp list
# Busca las entradas Take que correspondan a R82_URGENT_SECURITY_UPDATE
# Si ves un Take reciente (Take 24+ en R82), ya estás protegido.
# 3) Validación alternativa via cpinfo
[Expert@GW:0]# cpinfo -y CPupdates
# Debe listar BUNDLE_URGENT_SECURITY_UPDATE_R82_AUTOUPDATE con Take >= 24
# 4) En Scalable Platform (Security Groups), corre en todos los miembros
[Expert@GW:0]# g_all cplp list

Si tienes LivePatch activo y el Take corresponde al fix, no necesitas reiniciar servicio. Verifica que las sesiones VPN existentes se mantengan y pasa al punto de validación final. Si NO tienes LivePatch o tu Take está atrasado, hay que instalar el Jumbo Hotfix Accumulator (JHF) para tu rama. Check Point mantiene dos SK oficiales: sk1000117 para CVE-2026-85102 y sk1000118 para CVE-2026-85103, más sk185114 para el instructivo de LivePatch.

La instalación del JHF sí requiere ventana de mantenimiento: reinicio del servicio firewall, breve pérdida de estado de conexiones stateful, y failover manual si trabajas con ClusterXL. En HA, programa el parche primero en el nodo standby, valida failover y luego repite en el activo.

Mitigaciones temporales cuando no puedes parchear ya

Si tu cambio de mantenimiento está agendado pero el appliance sigue expuesto, hay dos ajustes que reducen superficie de ataque. Ambas rompen túneles que dependan de peers implícitos; documentá los peer IPs antes de aplicarlas.

1. Deshabilitar implied VPN rules para Site-to-Site VPN. Las reglas implícitas son las que Check Point crea automáticamente para permitir tráfico entre los gateways de un túnel sin que las declares. Sacarlas fuerza a que cada peer Site-to-Site tenga una regla explícita y, mientras aplicás el fix, limita qué peers pueden iniciar la negociación.
2. Restringir UDP 500 y UDP 4500 a las IPs esperadas. Estos son los puertos que IKEv1/IKEv2 usan para el handshake. Si solo tienes dos pares Site-to-Site, una regla restrictiva en el firewall upstream (o en el propio Gateway) corta el ruido masivo de escaneos y reduce la ventana para un atacante que encuentre un exploit.

# Ejemplo: bloquear UDP 500/4500 salvo a peer 203.0.113.10 y 198.51.100.0/24
# (asumiendo que tu peer real es el .10 y el otro extremo del túnel está en esa red)
iptables -A INPUT -p udp --dport 500 -s 203.0.113.10 -j ACCEPT
iptables -A INPUT -p udp --dport 500 -s 198.51.100.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 500 -j DROP
iptables -A INPUT -p udp --dport 4500 -s 203.0.113.10 -j ACCEPT
iptables -A INPUT -p udp --dport 4500 -s 198.51.100.0/24 -j ACCEPT
iptables -A INPUT -p udp --dport 4500 -j DROP

Estas reglas no detienen un exploit dirigido a un peer IP permitido, pero cierran el barrido automático que es como la mayoría de estos bugs se explotan en las primeras 72 horas.

Lo que NO sirve como mitigación

He visto varios sysadmins intentar tres cosas que no mitigan estos CVE. Las listo para que no pierdas tiempo:

• Cambiar el puerto IKE a uno no estándar. IKE tiene un puerto fijo por especificación; moverlo rompe la interoperabilidad y no detiene a un atacante que sniffea el tráfico.
• Forzar solo IKEv2 pensando que IKEv1 está parcheado. Ambos CVEs afectan a las dos versiones; la superficie ASN.1 es común.
• Confiar en el WAF/IPS de un appliance distinto upstream. El handshake VPN cifrado no es inspeccionable por un WAF que no termine el túnel él mismo.

Detección: qué mirar en logs si sospechás explotación

Check Point loguea intentos de negociación fallidos en $FWDIR/log/fw.log. Un exploit en fase de handshake suele aparecer como una secuencia rápida de IKE phase 1 failures desde una IP que normalmente no negocia contigo, seguida de un evento IPS sobre la firma de heap corruption o un crash de fwk. Si ves el servicio cpfwm reiniciarse solo o fwd mostrando state machine corruption en cpinfo, es indicador fuerte.

# Búsqueda rápida en fw.log de las últimas 24h
[Expert@GW:0]# grep -E "IKE negotiation failed|ASN.1 decode|certificate validation" 
  $FWDIR/log/fw.log | tail -50
# Conteo de peers únicos que intentaron phase 1 fallida
[Expert@GW:0]# grep "IKE Phase 1 failure" $FWDIR/log/fw.log | 
  awk '{print $NF}' | sort -u | wc -l

Si tienes SIEM exportando logs de Check Point, cruzá los conteos de fase 1 fallida con la geolocalización de las IPs y vas a ver el patrón típico de scanning en las primeras 24-48h post-disclosure.

Cuándo migrar a R82.20 en vez de aplicar JHF

Si tu Gateway está en R81 o R81.10, esas ramas están en estado EOS según el propio advisory de Check Point. Aplicar JHF sobre una rama EOS te deja con un fix puntual pero sin actualizaciones futuras. La migración consume más tiempo y requiere validar cluster y reglas, pero elimina la deuda técnica de mantener una rama sin soporte.

Si tu Gateway está en R82 o R82.10 y tienes LivePatch, no hay decisión: aplicá el JHF para tu rama, validá con cplp list y cerrá el ticket. Si NO tienes LivePatch y vas a estar en R82/R82.10 por más de 6 meses, planificá la migración a R82.20 antes del próximo ciclo de advisories críticos.

Resumen operativo

Para cerrar este advisory en menos de una hora: confirmá la rama con fw ver, validá el Take de LivePatch con cplp list, y si estás atrasado instala el JHF de tu rama. Si no puedes mantener la ventana, aplicá las dos mitigaciones temporales (implied rules off + restricción UDP 500/4500) y agendá el parche para los próximos tres días hábiles. Cualquier Gateway en R81/R81.10 debería entrar en el roadmap de migración a R82.20; los CVEs de este mes son el empujón natural para priorizarla.

Preguntas frecuentes

Lee también

• Guía Fedora 44: Novedades, Instalación y Upgrade para Sysadmins Linux
• Configura VLANs en Linux con nmcli: Guía paso a paso para sysadmins
• Protege tu SSH: Guía esencial para configurar Fail2ban en Linux
• Guía Definitiva: Configura Kubernetes con kubeadm en Ubuntu para Sysadmins Linux
• Configura Prometheus y Grafana: Guía DevOps para SysAdmins Linux