Check Point: falla delle VPN dei gateway sfruttata dopo la correzione
Il 9 settembre 2026 Check Point ha reso note e corretto due falle gravi nella gestione delle VPN dei suoi gateway. Pochi giorni dopo sono iniziati gli attacchi. Qui trovi i fatti, le fonti e che cosa non si sa.
Scheda aggiornata al 27 ottobre 2026 In corso Le informazioni vengono da fonti pubbliche, elencate in fondo alla pagina; BoNet™ non ha informazioni dirette sull'incidente. Seguiamo il caso ogni settimana, anche dopo che la stampa smette di occuparsene.
Data di inizio dell'evento: 9 settembre 2026 · Ultimo controllo delle fonti: 27 ottobre 2026
- Scheda creata. Ultimo sviluppo che risulta dalle fonti consultate: la conferma dello sfruttamento e l'inserimento nel catalogo CISA (settembre 2026).
- CISA aggiunge la falla CVE-2026-85102 al catalogo delle falle sfruttate.
- Check Point pubblica le correzioni per le due falle.
La falla in sintesi
| Identificativo | CVE-2026-85102, CVE-2026-85103 |
|---|---|
| Gravità | Critica: 9,8 su 10 (CVSS) per entrambe, secondo la Cloud Security Alliance |
| Prodotti interessati | Check Point Quantum Security Gateway, Spark Firewall e (per la seconda falla) Security Management Server, con VPN di accesso remoto o tra sedi attiva |
| Correzione | Disponibile dal 9 settembre 2026 (aggiornamenti cumulativi e LivePatch); le versioni non più supportate vanno aggiornate |
| Già sfruttata? | Sì, per la prima falla: secondo il produttore, riportato dalla stampa, attacchi dal 12 settembre |
Tre cose da sapere
Che cosa è successo
Il 9 settembre 2026 Check Point ha pubblicato le correzioni per due falle (CVE-2026-85102 e CVE-2026-85103) nella trattativa di una connessione VPN: la prima nella verifica dei certificati, la seconda in una lettura di certificati che può sovraccaricare la memoria.
Che cosa ha comportato
Un aggressore senza credenziali può, in teoria, eseguire codice sul gateway. Secondo Check Point, riportato dalla stampa, dal 12 settembre sono iniziati attacchi contro i clienti dei firewall Spark; l'agenzia americana CISA ha aggiunto la prima falla al catalogo delle falle sfruttate il 22 settembre.
Che cosa non si sa
Chi sia l'aggressore, quanti apparati siano stati compromessi e se anche la seconda falla sia sfruttata.
I fatti, con le fonti
Ogni riga indica da dove viene l'informazione e quanto è solida. «Dichiarato» significa detto da un'azienda o da un'autorità; «riportato» significa scritto dalla stampa; «rivendicato» è ciò che dicono gli aggressori; «stima» e «ipotesi» dicono da soli quanto fidarsi. I numeri tra parentesi rimandano alle fonti in fondo alla pagina.
| Fatto | Stato | Fonti |
|---|---|---|
| Il 9 settembre 2026 Check Point ha reso disponibili le correzioni per due falle gravi (CVE-2026-85102 e CVE-2026-85103) della gestione delle VPN di accesso remoto e tra sedi. | Riportato dalla stampa | [1] [2] |
| Per entrambe le falle il punteggio di gravità riportato è 9,8 su 10. | Riportato dalla stampa | [1] [2] |
| Al momento della pubblicazione Check Point non aveva rilevato sfruttamento; la Cloud Security Alliance cita l'allerta del centro nazionale olandese (NCSC) del 10 settembre, che prevedeva tentativi di sfruttamento a breve. | Riportato dalla stampa | [1] |
| Secondo Check Point, riportato da BleepingComputer, dal 12 settembre è iniziata un'ondata di tentativi di attacco contro clienti dei firewall Spark, da infrastrutture che nascondono l'origine (servizi VPN e proxy). | Riportato dalla stampa | [2] |
| La prima falla è stata aggiunta al catalogo CISA delle falle sfruttate il 22 settembre, con scadenza del 25 settembre per le agenzie federali americane. | Riportato dalla stampa | [2] [3] |
| Secondo BleepingComputer, Check Point ha segnalato anche una terza falla distinta (CVE-2026-93616) nel servizio web di gestione, sfruttata come falla sconosciuta dal 23 luglio. | Riportato dalla stampa | [2] |
| Le correzioni indicate dalle fonti sono gli aggiornamenti cumulativi (per esempio R81.20 dal livello 166, R82 dal 126, R82.10 dal 44) e il sistema LivePatch; le versioni dalla R80 alla R81.10 non più supportate richiedono il passaggio a una versione supportata. | Riportato dalla stampa | [1] [2] |
| Se non si può aggiornare subito, le fonti indicano di limitare le porte UDP 500 e 4500 ai soli indirizzi dei partner (VPN tra sedi) e di restringere gli accessi remoti. | Riportato dalla stampa | [1] [2] |
- Chi sia l'aggressore e quale sia l'obiettivo: le fonti non lo indicano.
- Quanti apparati siano stati compromessi.
- Se anche la seconda falla (CVE-2026-85103) sia sfruttata: le fonti consultate non lo confermano.
Indicazioni generali, valide per qualunque organizzazione: controlla sempre l'avviso del produttore del tuo apparato, che prevale su queste note.
- Gli apparati esposti a Internet (VPN, firewall) sono i primi bersagli: vanno aggiornati fuori dal ciclo normale quando il produttore segnala uno sfruttamento in corso.
- Dopo l'aggiornamento conviene controllare se qualcuno è già entrato: correggere la falla non toglie un intruso già presente.
- Le versioni non più supportate non ricevono correzioni: pianifica per tempo il passaggio a una versione supportata.
Da dove vengono le informazioni
| N. | Fonte | Titolo | Data | Che cosa abbiamo usato |
|---|---|---|---|---|
| [1] | Cloud Security Alliance | Check Point VPN Flaws: Unauthenticated RCE Exploitation Imminent | 18 settembre 2026 | Identificativi, gravità, prodotti, correzioni, misure alternative. |
| [2] | BleepingComputer | Check Point warns of hackers exploiting Security Gateway VPN RCE flaw | 23 settembre 2026 | Attacchi dal 12 settembre, correzioni, misure alternative. |
| [3] | Forkast | The VPN certificate bypass that was patched in September is now actively exploited | 23 settembre 2026 | Date del catalogo CISA e della scadenza. |
Testi riassunti e riscritti con parole nostre. Se trovi un errore o una novità segnalacelo e correggeremo la scheda.
- Ivanti Connect Secure: falla della VPN sfruttata prima della correzione · 13 ottobre 2026 (sfruttata dai primi di ottobre)
- Ahold Delhaize: siti e app dei supermercati spenti in Europa e negli Stati Uniti · 12 ottobre 2026
- Frigoriferi a 50 °C: l'attacco ai supermercati francesi · notte tra l'11 e il 12 ottobre 2026
Vuoi capire se la tua rete è esposta a rischi simili?
Il punto di partenza è quasi sempre un'analisi di rete: da lì si vede se servono test invasivi. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai a Efesto