CERT-EU 2026-012 en Check Point sk1000117 / sk1000118 — voor kmo’s met Security Gateway, Management Server of Spark Firewall + VPN
KMO-IMPACT: ACTIE NODIG
Draait bij u of uw IT-partner een Check Point Security Gateway, Security Management Server of Spark Firewall met Remote Access VPN of Site-to-Site VPN? Installeer de noodhotfix van woensdag 9 september 2026. CERT-EU raadt in advisory 2026-012 (donderdag 10 september 2026) aan om die updates zo snel mogelijk te zetten, met voorrang voor toestellen aan de internetrand. In de geraadpleegde bronnen staat geen bevestigd actief misbruik en geen plaatsing op de CISA KEV-lijst — of die status intussen veranderde, is hier niet bevestigd.
Twee kritieke VPN-lekken (CVSS 9.8)
Check Point bracht op 9 september 2026 noodupdates uit voor twee kritieke kwetsbaarheden, elk met CVSS 9.8.
CVE-2026-85102 (sk1000117): foutieve certificaatvalidatie tijdens VPN-onderhandeling op de Security Gateway. Een aanvaller zonder login kan vanop afstand code uitvoeren. Voorwaarde: Remote Access VPN of Site-to-Site VPN moet geconfigureerd staan.
CVE-2026-85103 (sk1000118): heap overflow bij ASN.1-decodering van VPN-certificaten op Security Gateway én Security Management Server — opnieuw remote code execution.
Getroffen takken volgens CERT-EU en de vendor-SK’s: Security Gateway R80 tot en met R82.10 (inclusief End-of-Support-takken), dezelfde releases voor Security Management Server, en Spark Firewall zowel centraal als lokaal beheerd. Niet getroffen: R82.20. Voorbeeldgrenzen in het CVE-record voor Jumbo: R82.10 Take 43 of lager, R82 Take 125 of lager, R81.20 Take 165 of lager.
LivePatch, Jumbo of tijdelijke mitigeringsmaatregel
Staat automatische Check Point LivePatch aan, dan bent u volgens de vendor al beschermd via BUNDLE_URGENT_SECURITY_UPDATE take 24 (onder meer voor R82.10, R82 en R81.20). Zo niet: installeer de Jumbo Hotfix Accumulator of de vendorpakketten uit sk1000117 en sk1000118 (onder meer Jumbo vanaf Take 44 / 126 / 166 op die takken). Controleer met cpinfo -y CPupdates en cplp list of de bundle actief is.
Tijdelijke mitigeringsmaatregel voor Site-to-Site VPN (niet voor lokaal beheerde Spark): schakel implied VPN-rules uit en laat UDP/500 en UDP/4500 alleen toe vanaf de concrete peer-IP’s. Dat is geen vervanging voor de hotfix.
Wat betekent dit voor uw onderneming?
Voor wie: Vlaamse kmo’s en IT-beheerders/MSP’s met Check Point Security Gateway, Management Server of Spark Firewall met Remote Access of Site-to-Site VPN.
Vanaf wanneer: noodupdates beschikbaar sinds woensdag 9 september 2026; CERT-EU-advies donderdag 10 september 2026.
Financiële impact: geen vast bedrag in de bronnen; risico zit in overname van de perimeterfirewall of het managementplatform.
Wat moet u doen: build/LivePatch controleren; hotfix of Jumbo zetten; bij S2S tijdelijk peers beperken; MSP schriftelijk laten bevestigen welke take erop staat.
Deadline: zo snel mogelijk, prioriteit voor internet-facing / perimeter — geen aparte CISA-deadline in deze bronnen.
Nog niet duidelijk: of er intussen actief misbruik of CISA KEV is (in CERT-EU 2026-012, sk1000117/sk1000118 en het CVE-record niet vermeld).
Noteer take-nummer, LivePatch-status en bevestiging van uw partner in het netwerkdossier. Zonder die check weet u niet of uw VPN-gateway vandaag nog openstaat voor remote code execution.
