Zwei Lücken, beide mit der Wertung 9,8 von 10. Sie stecken an derselben Stelle: dort, wo ein Check Point VPN prüft, ob das Zertifikat der Gegenseite echt ist. Genau diese Prüfung lässt sich aushebeln — und zwar bevor irgendjemand ein Passwort eingetippt hat. Das niederländische Cyber-Sicherheitszentrum NCSC hat deshalb eine seltene Vorab-Warnung herausgegeben.
SO LÄUFT DER ANGRIFF: Der Türsteher prüft den Ausweis falsch
Ein VPN-Aufbau beginnt mit einem Handschlag. Beide Seiten zeigen ein Zertifikat, beide prüfen das Gegenstück. Stell dir das wie einen Türsteher vor, der Ausweise kontrolliert.
Der Fehler liegt nicht darin, dass der Türsteher schläft. Er liegt darin, wie er den Ausweis liest. Ein präpariertes Zertifikat bringt ihn dazu, in seinem eigenen Speicher danebenzugreifen — und ab da bestimmt der Angreifer, was auf dem Gerät passiert. Anmeldedaten braucht er dafür nicht. Er muss das Gateway nur erreichen können.
ZWEI LÜCKEN, EIN ZIEL: Was die beiden unterscheidet
CVE-2026-85102 setzt bei der Prüfung der Zertifikatsdaten während der VPN-Verhandlung an. Wer sie ausnutzt, bringt das Security Gateway dazu, eigenen Code auszuführen.
CVE-2026-85103 ist ein Überlauf im Speicherbereich, in dem das Zertifikat zerlegt wird — im sogenannten ASN.1-Decoder. Diese zweite Lücke ist die unangenehmere: Sie trifft nicht nur die Gateways, sondern auch die Security Management Server. Also genau die Maschinen, von denen aus deine ganze Firewall-Landschaft verwaltet wird.
Beide tragen die Wertung CVSS 9,8. Höher geht es praktisch nur noch bei einer glatten 10.
GEFAHR! Warum das NCSC so früh laut wird
Normalerweise melden sich Behörden, wenn Angriffe bereits laufen. Hier ist es umgekehrt. Das NCSC schätzt sowohl die Wahrscheinlichkeit einer Ausnutzung als auch den möglichen Schaden als hoch ein und rechnet damit, dass Angriffsversuche bald beginnen.
Der Grund ist naheliegend: Ein VPN-Gateway steht per Definition offen im Internet. Das ist sein Job. Es gibt keine Firewall davor, hinter der man sich verstecken könnte — das Gerät ist die Firewall. Und ein Fehler, der ohne Login funktioniert, ist für Angreifer die bequemste Sorte überhaupt.
Ein öffentlicher Beispiel-Exploit ist bislang nicht bekannt. Das ist eine Momentaufnahme, keine Entwarnung.
So handelst du JETZT — in vier Schritten
1. Version feststellen. Welcher Hotfix-Stand läuft auf deinen Gateways und auf dem Management Server? Ohne diese Zahl ist alles andere Raten.
2. Abgleichen. Die Listen der betroffenen Stände stehen in sk1000117 und sk1000118. Check Point hat die Korrekturen am 9. September bereitgestellt.
3. Einspielen. Zuerst das, was aus dem Internet erreichbar ist. Der Management Server kommt direkt danach — er ist das lohnendere Ziel.
4. Nachsehen. Wirf nach dem Update einen Blick auf neu angelegte Administratorkonten und auf Änderungen am Regelwerk, die niemand aus deinem Team gemacht hat.
EXTRA-TIPP: Auch fürs Homelab eine Lehre
Dieselbe Bauform findest du im Kleinen wieder. Jedes Gerät, das du von außen erreichbar machst, wird zur Vordertür — egal ob Fritzbox, Mini-Router oder selbst gebauter WireGuard-Server. Die Frage ist nie, ob es dort irgendwann eine Lücke gibt, sondern wie schnell du davon erfährst.
Praktisch heißt das: Trage dir den Hersteller-Newsletter deines Randgeräts ein. Und stelle automatische Updates dort an, wo du sie verantworten kannst.
FAZIT: Diesmal bist du vor den Angreifern dran
Zwei 9,8er-Lücken ohne Anmeldepflicht in einem Gerät, das offen im Netz steht — das ist die unangenehmste Kombination, die es gibt. Die gute Nachricht: Die Korrekturen sind seit dem 9. September verfügbar, und der öffentliche Exploit fehlt noch. Dieses Zeitfenster schließt sich erfahrungsgemäß schnell.