Check Point VPN の脆弱性 CVE-2026-85102／85103 が FIX：特定の条件下における RCE の恐れ

Critical Check Point VPN Vulnerabilities Enable Remote Code Execution Attacks

2026/09/10 CyberSecurityNews — Check Point Software は、VPN に関連する 2 件の重大な脆弱性 CVE-2026-85102／85103 (CVSS：9.8) の情報を公表するとともに、パッチをリリースした。これらの脆弱性は、特定の条件下で未認証の攻撃者によるリモート・コード実行 (RCE) を可能にする恐れがあり、Check Point の研究チームによって発見されたものである。この記事の執筆時点では、これらの脆弱性について、実環境での積極的な悪用や公開された概念実証 (PoC) コードは確認されていない。

Check Point VPN の脆弱性

脆弱性 CVE-2026-85102 は、VPN ネゴシエーション時に証明書の信頼性を適切に検証しない欠陥であり、CWE-295 に分類されている。Check Point のアドバイザリ sk1000117 によると、提示された証明書の信頼性が適切に検証されないため、この脆弱性を悪用する未認証の攻撃者は VPN ネゴシエーションを進めることで、Security Gateway 上で任意のコードを実行する可能性があり、Remote Access VPN と Site-to-Site VPN の双方が影響を受ける。

もう一方の脆弱性 CVE-2026-85103 は、製品が VPN 証明書の ASN.1 構造を解析する際に発生するヒープバッファ・オーバーフロー (CWE-122) の欠陥である。アドバイザリ sk1000118 で詳述されているように、この脆弱性を悪用するリモートの攻撃者は、悪意のある証明書を送信するだけでバッファ・オーバーフローを引き起こし、Quantum Security Gateway／Quantum Security Management の双方でコードを実行する可能性がある。

これらの脆弱性は、複数のリリース系列にわたる Check Point Security Gateway／Security Management Server／Spark Firewall の導入環境に影響を及ぼし、影響を受けるのは、新たにパッチが適用された Jumbo Hotfix Take より前のバージョンを使用する R81.20／R82／R82.10 と、R80.40／R81 を含む複数のサポート終了バージョンである。Check Point の情報によると、R82.20 は影響を受けない。

CVE-2026-85102 は主として VPN 接続を行う Security Gateway に影響する一方、CVE-2026-85103 の影響範囲にはゲートウェイ／管理インフラの双方が含まれる。

Check Point Live Patch を使用している組織では、2026年9月9日から保護機能の展開が開始されているため、自動的に保護機能が適用される。一方、Live Patch を有効化していない環境の管理者は、各リリース系列に対応する最新の Jumbo Hotfix Accumulator を手動でインストールする必要があり、R82.10 Take 44 以降／R82 Take 126 以降／R81.20 Take 166 以降と、Spark Firewall の専用の修正済みビルドが対象となる。

直ちにパッチを適用できない Site-to-Site VPN の導入環境に対し、Check Point は、暗黙の VPN ルールを無効化し、UDP ポート 500 と 4500 へのアクセスを既知のピアの IP アドレスに制限することを推奨している。ただし、この回避策は Remote Access VPN には適用できず、ローカル管理の Spark Firewall には暫定的な緩和策が存在しない。

今年の初めには、Qilin ランサムウェアの活動に関連する IKEv1 認証バイパスの脆弱性 CVE-2026-50751 が公開され、実環境で積極的に悪用されているが、今回修正された脆弱性はこれとは無関係である。

新たな 2 件の脆弱性の深刻度はクリティカルであり、ネットワーク経由で悪用可能であることから、Check Point のインフラを運用するセキュリティチームに対して強く推奨されるのは、実環境での悪用が確認されるまで待つのではなく、直ちにパッチを適用することである。

Check Point VPN における CVE-2026-85102／CVE-2026-85103 は、未認証の攻撃者によるリモートコード実行を引き起こす恐れがあるため、システムの安全性を維持する上で早急な対処が求められます。背景として、リモートアクセスやサイト間接続を支える境界防御製品において、証明書の検証不備やバッファ・オーバーフローといった実装上の欠陥が潜む場合があります。影響として、侵害を受けたゲートウェイや管理インフラを踏み台とした組織内ネットワークへの不正侵入や深刻な障害が発生する危険性が高まります。対応策として、Jumbo Hotfix Accumulator の適用／Live Patch の活用／UDP ポートのアクセス制限の実施が求められます。