Check Point ゲートウェイの VPN 証明書検証不備で未認証の遠隔コード実行（KEV・Spark で悪用）

Critical（CVSS 9.8）に分類されるCheck Point Check Point Security Gateway / Spark Firewall（Site to Site VPN または Remote Access VPN を使用している場合）の脆弱性です。Check Point のサポート記事 **sk1000117** の記述はこうである。**VPN のネゴシエーション中に証明書データの検証が不適切なため、未認証の遠隔の攻撃者がセキュリティゲートウェイ上で任意のコードを実行できる可能性がある。** CVSS は **9.8**（Check Point 記載）。 **該当するのは、Site to Site VPN または Remote Access VPN を使っている Security Gateway と Spark Firewall である。** Site to Site VPN については **証明書ベースの認証を使う、または許可しているゲートウェイ**が対象で、**事前共有鍵（PSK）だけで認証する暗号化コミュニティにのみ参加しているゲートウェイは対象外**とされている。ただし、動的 IP ゲートウェイ（DAIP）や Large Scale VPN（LSV）のゲートウェイがコミュニティにいると証明書認証が有効になる点に注意が要る。 **影響を受ける版は R81.20 / R82 / R82.10、R81.10.x / R82.00.x（Spark）、および EoS の R80〜R81.10。R82.20 は影響を受けない。** 修正は 2026-09-09 前後から提供されている。 **Check Point は 2026-09-20 の更新で、2026-09-12 以降 Spark Firewall に対して実際に悪用されていると追記した。** CISA は 2026-09-22 に KEV へ収載し、是正期限を 2026-09-25 とした。同じ日には同社管理サーバの CVE-2026-93616 も KEV に収載されている。 NVD の API は 2026-09-25 時点でこの CVE のレコードを返しておらず、CVSS ベクタは確認できていない（空欄にしてある）。

**修正の入った版へ更新する。** sk1000117 に示された修正は2通りある。 - **LivePatch**: R82.10 / R82 / R81.20 向けの `BUNDLE_URGENT_SECURITY_UPDATE_*_AUTOUPDATE` **Take 26**。自動インストールを有効にしていれば自動で適用される。**2026-09-14 の更新で、オフラインの LivePatch を入れていて R82.10 JHF Take 24 以下・R82 Take 107 以下・R81.20 Take 146 以下の環境は、Take 26 の適用が必要**とされた - **Jumbo Hotfix Accumulator**: R82.10 は **Take 44** 以降、R82 は **Take 126** 以降、R81.20 は **Take 166** 以降、R81.10 は **Take 190** 以降 - **Spark Firewall**: R82.00.10 は **Build 2325** 以降、R81.10.17 は **Build 4968** 以降 適用の確認は、Expert モードで `cpinfo -y CPupdates`（LivePatch の Take）と `cplp list`（cpcert:iked* などに CVE-2026-85102 が出るか）を見る。 **すぐ更新できない場合の緩和策**（sk1000117 記載。更新できない場合に限る）: Site to Site VPN は VPN の暗黙ルールを無効にし、UDP/500 と UDP/4500 を特定のピア IP に限って明示ルールで許可する（sk179346）。Remote Access VPN は暗黙ルールを無効にし、UDP/500・UDP/4500・TCP/443（必要なら TCP/80）を明示ルールで許可し、可能なら送信元を絞る。**ローカル管理の Spark Firewall にはこの緩和策は使えない。** 設定を誤ると VPN 接続が切れるので注意する。 **侵害の確認**: SmartConsole / Spark Management のログで、2026-09-12 以降の `product: "Mobile Access" AND action: "Log In" AND "Certificate"` を検索し、見覚えの無い利用者・クライアント・送信元 IP を調べる。Check Point が観測した不審な証明書サブジェクトとして `CN=vpn,OU=users,O=global`・`CN=vpn-user,OU=users,O=global`・`CN=vpnuser,OU=users,O=global` が挙がっている（網羅ではない）。不正と判断したら、その利用者からの内部ポートスキャン等の二次活動を追う。 **EoS の版（R80〜R81.10）は影響範囲に含まれる。** 修正が提供される版へ移行するか、CISA の要求アクションのとおり使用中止まで含めて判断する。

Check Point Check Point Security Gateway / Spark Firewall（Site to Site VPN または Remote Access VPN を使用している場合） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-85102）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/25 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。