Check Point, Security Gateway ve Security Management Server ürünlerini etkileyen, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya yol açabilecek iki kritik açığı 9 Eylül’de açıkladı ve aynı gün yama dağıtımına başladı. Şirket, her iki sorunu da kendi tespit ettiğini ve şu ana kadar istismar edildiğine dair bir belirti görmediğini bildirdi.
İki açığa da 9,8 CVSS puanı verildi. İlk sorun CVE-2026-85102 olarak izleniyor; VPN el sıkışması sırasında sertifika güven zincirinin doğru doğrulanmamasından kaynaklanıyor ve saldırganın Security Gateway üzerinde uzaktan kod çalıştırmasına kapı aralayabiliyor. İkinci açık CVE-2026-85103 ise VPN sertifikasının ASN.1 yapısı çözümlenirken oluşan heap tabanlı bellek taşması. Bu açık da kimlik doğrulaması olmayan bir saldırganın Quantum Security Management ve Quantum Security Gateway sistemlerinde kod çalıştırmasına izin verebilir. Her iki CVE kaydına ait numara ve puanları Check Point’in kendisi atadı. Açıkların ayrıntıları için NVD kayıtları da yayımlandı: https://nvd.nist.gov/vuln/detail/CVE-2026-85102 ve https://nvd.nist.gov/vuln/detail/CVE-2026-85103
Hangi sürümler risk altında
Check Point’in duyurusundaki etkilenen sürüm listesi üç Quantum kolunu kapsıyor: R82.10 sürümü Jumbo Hotfix Take 43 ve altı, R82 sürümü Jumbo Hotfix Take 125 ve altı, R81.20 sürümü ise Jumbo Hotfix Take 165 ve altı. Şirketin kayıtlarında bunların açıkların bulunduğu sürümler olduğu, yamanın yer aldığı sürümler olmadığı özellikle belirtiliyor. Başka bir ürün hattı için sürüm bilgisi paylaşılmadı.
Kanada Siber Güvenlik Merkezi’nin aynı akşam yayımladığı uyarı ise daha geniş bir ürün setini listeliyor ama sürüm vermiyor. Uyarıda Security Gateway, Security Management Server ve Check Point’in küçük işletmelere yönelik Spark Firewall hattı yer aldı. Spark, duyuruda iki kez geçiyor: biri Site-to-Site veya Remote Access VPN kullanılan dağıtımlar için, diğeri bu koşul olmadan.
Check Point topluluk başlığında bir çalışan, VPN yazılım blade’inin kapalı olduğu gateway’lerin CVE-2026-85103’ten etkilenip etkilenmediği sorusuna yanıt verdi. Çalışan, meselenin sertifika işleme sürecine dayandığını, bu nedenle teorik olarak VPN olmayan bir ortamda da VPN sertifikaları mevcutsa tetiklenebileceğini söyledi.
Şirket müşterilere yamaya ulaşmak için iki yol sundu. İlk seçenek Check Point Live Patch. Şirketin aktardığına göre bu yöntemi kullanan müşteriler, dağıtım başladığı andan itibaren otomatik olarak korunuyor; rollout 9 Eylül’de başladı. Topluluktaki bir Check Point çalışanı, bu yamanın R81.20, R82.00 ve R82.10 üzerindeki herhangi bir Jumbo Hotfix seviyesinin üzerine kurulabildiğini belirterek yalnızca bu üç sürüm adını sıraladı.
İkinci seçenek Jumbo Hotfix paketi. Check Point, müşterilere kendi sürümleri için yayımlanan en güncel hotfix’i yüklemelerini istedi. Şirketin yönlendirmesi, yama kurulana kadar bu paketlerin güncel tutulması üzerine kuruldu.
Ancak topluluk başlığındaki bazı müşteriler, özellikle R81.10 üzerinde kaldıklarını ve haftalarca bu sürümden çıkmayacaklarını yazdı. Kullanıcılardan biri, bu kol için ne Jumbo Hotfix ne de Live Patch seçeneği bulunduğunu, bu nedenle geriye yalnızca azaltım adımlarının kaldığını söyledi. Aynı kişi, duyuruda geçen azaltım önerisinde VPN için implied rules’u kapatmanın tarif edildiğini, ancak bunun uygulamaya dönük olarak fazla muğlak olduğunu ve hangi yapılandırma satırlarının yorum satırı yapılması gerektiğini sordu. Bir başka müşteri ise, uzak kullanıcıları etkilemeden bu azaltımın nasıl uygulanacağını öğrenmek istedi. Başlıklardaki bu sorulara yanıt verilmedi.
Dağıtımın otomatik ilerlemediğini yazan müşteriler de vardı. Beş farklı hesap, açıklama günü güvenlik güncelleme paketinin hâlâ Take 17 veya Take 18 seviyesinde olduğunu bildirdi. Kullanıcılardan biri, 1 Eylül’de Take 18’in kurulduğunu gösteren bir güncelleme kaydı paylaşarak o tarihten sonra ilerleme olmadığını aktardı.
İki duyurudaki indirme bağlantılarının çalışmadığını söyleyen müşteriler de oldu. Bir Check Point çalışanı bağlantıların kontrol edildiğini ve çalıştığını yazdı. Buna karşın bir kullanıcı, sonraki mesajında duyuru bağlantılarının iki ayrı tarayıcıda hâlâ açılmadığını, Live Patch makalesindeki bağlantının ise çalıştığını belirtti.
Haziran ve temmuz aylarında da Check Point’in aynı ürünlerde kritik açıklar yayımladığı ve bunların duyuru anında aktif olarak istismar edildiğini söylediği hatırlatıldı. Haziran’daki CVE-2026-50751, Remote Access VPN ve Mobile Access sertifika doğrulamasında bir kimlik doğrulama atlama açığıydı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı, yani CISA, bu açığı 8 Haziran’da Known Exploited Vulnerabilities kataloğuna ekledi.
Temmuz’da açıklanan CVE-2026-16232 ise SmartConsole tarafında bir kimlik doğrulama atlama açığıydı ve CISA aynı gün KEV listesine aldı. Bu açık, Check Point’in o ay yamaladığı üç sorundan biriydi; diğer ikisi Security Management Server’ı etkiliyordu. Bu ayrıntı, yeni açığın ulaştığı bileşenle aynı yönetim katmanına işaret ediyor.
Yeni iki CVE için henüz uzlaşma göstergeleri yayımlanmadı. Topluluk başlığında, günlük kayıtlarının istismar girişimlerini gösterip göstermeyeceği sorulduğunda bir çalışan, şirketin dış kaynaklı istismara dair kanıt görmediğini ve IOCs’nin yalnızca zaten var olan exploit’ler için anlam taşıdığını söyledi. Check Point’in duyurusu da, kamuya açık kayıtlar da şu aşamada saldırının hangi koşullarda tetiklendiğini, Spark ya da Security Management sürümlerinden hangilerinin etkilendiğini ve hangi build’lerin düzeltmeyi içerdiğini netleştirmiyor. Yayımlanan malzemede, yama kurulmasının saldırganın daha önce elde etmiş olabileceği erişimi ortadan kaldırıp kaldırmadığı da açıkça belirtilmiyor.
Check Point, etkilenen ürünler, azaltım adımları ve düzeltme talimatları için sk1000117 ve sk1000118 numaralı duyurulara yönlendiriyor.