VPNs da Check Point com falha crítica sem senha: agência de segurança holandesa espera exploração em massa

Resumo: o NCSC (National Cyber Security Centre, o órgão de segurança cibernética do governo dos Países Baixos) emitiu um alerta urgente sobre duas vulnerabilidades críticas em produtos VPN da Check Point (empresa israelense de cibersegurança, fabricante dos firewalls e appliances de VPN Quantum): o CVE-2026-85102 e o CVE-2026-85103, ambos com 9.8 na escala CVSS e exploráveis por um atacante remoto sem credenciais, com potencial de execução de código arbitrário. Não há exploit público conhecido nem exploração ativa confirmada — mas a agência avalia a probabilidade de exploração e o impacto como altos e espera tentativas em larga escala em breve. Patches de emergência existem desde 09/09.

Introdução

Em 10/09/2026 o NCSC dos Países Baixos publicou um alerta classificando como críticas duas falhas encontradas no processo de VPN da Check Point: o CVE-2026-85102, na validação de certificados durante a negociação da conexão, e o CVE-2026-85103, um estouro de buffer na decodificação de certificados. As duas receberam nota 9.8 na escala CVSS (Common Vulnerability Scoring System: padrão internacional de severidade de vulnerabilidades, de 0 a 10), e as duas podem ser exploradas por um atacante externo sem nome de usuário ou senha — na prática, qualquer appliance de VPN exposto à internet vira um alvo em potencial.

A fabricante lançou atualizações de emergência em 09/09/2026, um dia antes do alerta da agência holandesa: o Jumbo Hotfix Accumulator mais recente e a proteção via LivePatch já estão disponíveis para as versões suportadas. Para quem administra VPN de borda, o recado do NCSC é direto: isso é prioridade de patching, não manutenção de rotina. E o contexto não ajuda — VPNs corporativas têm sido a porta de entrada número um de ransomware e espionagem nos últimos meses, no Brasil e no mundo.

VPN de borda: a porta de entrada nº 1 do ransomware

A VPN de borda é o túnel criptografado que conecta usuários remotos e filiais à rede corporativa através da internet. Por definição, ela é um equipamento de perímetro: fica de frente para a internet, aceita conexões de qualquer lugar do mundo e, quando autentica alguém, entrega acesso confiável a sistemas internos. Essa combinação — exposição total + acesso privilegiado — faz dela o alvo preferido de grupos de ransomware, que não precisam mais enganar um funcionário com phishing quando podem simplesmente assumir o próprio portão de entrada.

A onda de julho de 2026 deixou isso explícito: grupos de ransomware coordenaram exploração em massa contra VPNs da Palo Alto, da Fortinet, da Citrix e da própria Check Point para acessar redes corporativas — o mesmo padrão que já vimos em incidentes de firewall de borda como o CVE-2026-20079 no Cisco FMC, onde três clusters pós-comprometimento, incluindo o grupo russo Sandworm, invadiram o console de gerência dos firewalls Cisco. No Brasil, o risco é idêntico: appliances de VPN de fabricantes estrangeiras são amplamente usados por bancos, operadoras e médias empresas, e a exposição à internet pode ser verificada com um inventário simples de portas e serviços.

Quando um equipamento desses cai, o impacto não é pontual: o atacante pode assumir o controle do appliance, ler ou alterar informações confidenciais que passam pelo túnel, se mover lateralmente pela rede conectada e interromper operações de negócio inteiras. É exatamente esse cenário que o NCSC quer evitar com o alerta.

CVE-2026-85102: o handshake que confia demais

O CVE-2026-85102 está no processo de negociação da VPN nos appliances Quantum Security Gateway. A falha é uma validação imprópria dos dados de confiança de certificado durante o estabelecimento da conexão: na hora do handshake (a troca inicial de mensagens em que dois lados se apresentam e acordam chaves e parâmetros) do IKE (Internet Key Exchange, o protocolo que negocia as chaves e autentica os pares no início de um túnel IPsec), o equipamento confia em dados de certificado que não foram validados corretamente.

O resultado é a combinação mais temida em infraestrutura de borda: um atacante remoto, sem credenciais válidas, pode contornar as verificações de autenticação e executar código arbitrário no Security Gateway — o appliance que controla quem entra e quem sai da rede. A falha afeta o Quantum Security Gateway e o Spark Firewall quando a Remote Access VPN (VPN de acesso remoto, que conecta usuários individuais à rede corporativa) ou a Site-to-Site VPN (VPN entre redes, que interliga escritórios e filiais por túneis permanentes) está habilitada — ou seja, a configuração padrão de praticamente qualquer implantação.

Abaixo, o fluxo da exploração:

A execução de código sem autenticação transforma a falha em um acesso inicial completo: o invasor não precisa de credenciais roubadas nem de interação com usuários — basta alcançar o appliance pela rede.

CVE-2026-85103: o heap overflow no ASN.1 que corrompe a memória

O CVE-2026-85103 é um heap-based buffer overflow (estouro de buffer baseado em heap: quando dados ultrapassam o espaço reservado na região de memória de alocação dinâmica, corrompendo a memória adjacente) na decodificação ASN.1 (Abstract Syntax Notation One, um padrão de formato de dados usado amplamente em certificados digitais) de certificados VPN. Um certificado especialmente construído — malformado, com campos maiores do que o esperado — dispara a corrupção de memória e permite a execução de código remoto. A fraqueza é classificada como CWE-122 (a categoria da comunidade de segurança para estouros de buffer baseados em heap).

A diferença em relação ao primeiro CVE está no alcance: além do Security Gateway e do Spark Firewall, o CVE-2026-85103 afeta também o Security Management Server, o servidor central que administra políticas e logs de toda uma frota de appliances. Um overflow no processamento de certificados no servidor de gerência é particularmente grave porque compromete o ponto de administração — o mesmo raciocínio que torna um console de gerência mais valioso que o próprio firewall, como no caso do FMC da Cisco.

As duas falhas somam 9.8 na escala CVSS: exploração trivial pela rede, sem privilégios e com impacto máximo — o teto da escala fica reservado a casos como o CVSS 10.0 do bypass no FMC da Cisco.

O alerta do NCSC: sem exploit público, mas exploração em massa esperada

O ponto central do comunicado da agência holandesa é a expectativa, não a confirmação. O NCSC afirma que não viu código de exploração público para nenhuma das duas falhas — mas avalia a probabilidade de exploração como alta e o impacto potencial como alto, e espera que atacantes comecem tentativas de exploração em larga escala em breve. Por isso o texto do alerta é enfático: aplicar as atualizações é prioridade, não manutenção de rotina.

É um alerta preventivo — e é exatamente por ser preventivo que ele importa. No histórico recente de VPNs de borda, o padrão se repete: aviso de fabricante ou agência, janela de horas ou dias antes da primeira exploração em massa, e appliances sem patch virados porta de entrada de ransomware. Sem exploração ativa confirmada até o momento, o tempo de reação ainda está do lado do defensor — mas a janela tende a fechar rápido.

O que um atacante consegue com um gateway comprometido? Controle total do appliance exposto, acesso ou alteração de informações confidenciais que trafegam pelos túneis, movimento lateral para as redes conectadas e interrupção de operações de negócio. Um gateway de VPN comprometido vale mais que um servidor comum justamente porque carrega acesso confiável aos sistemas internos.

O que corrigir e como mitigar agora

A Check Point publicou atualizações de emergência em 09/09/2026. As correções estão no Jumbo Hotfix Accumulator (pacote acumulativo de correções da Check Point, que reúne e substitui hotfixes anteriores), distribuído por versão:

O LivePatch (mecanismo da Check Point que aplica correções críticas de segurança sem reiniciar o appliance, evitando janelas de indisponibilidade) começou a ser distribuído em 09/09 para os sistemas elegíveis. Para ambientes que usam Site-to-Site VPN, o NCSC também recomenda duas mitigações imediatas, válidas enquanto os patches são validados e implantados: desligar as regras VPN implícitas (as regras padrão que permitem tráfego VPN sem configuração explícita de cada peer) e limitar o acesso às portas UDP 500 e UDP 4500 — respectivamente a porta do ISAKMP (o protocolo que transporta a negociação IKE) e a porta do NAT-T (a variante que encapsula o IPsec atrás de NAT) — aos endereços IP de peers conhecidos, em vez de deixá-las abertas para a internet inteira.

Vale reforçar: mitigação reduz a superfície de ataque, mas não substitui o patch. As regras implícitas e as portas limitadas protegem o tráfego Site-to-Site; a exploração pela Remote Access VPN continua possível até a correção ser aplicada.

Detecção: o que procurar nos logs

Como não há IOCs públicos nem payloads conhecidos, a detecção aqui é comportamental e depende da revisão dos logs que o próprio appliance gera. O ponto de partida é auditar os logs de negociação de VPN e o processamento de certificados: conexões IKE iniciadas por endereços inesperados, tentativas repetidas de handshake que terminam em falha, erros de decodificação de certificados, e qualquer sessão de VPN estabelecida de forma anômala para horários ou origens atípicas.

Depois do handshake, procure o comportamento pós-conexão: tráfego de saída incomum a partir do appliance, criação de contas administrativas, alterações em regras de firewall e acesso a servidores de gerência. Centralizar esses eventos em um SIEM ajuda a correlacionar sinais que isolados passam despercebidos — uma implantação do Wazuh (SIEM open source de monitoramento e correlação de eventos) monitorando os logs do gateway e dos servidores de gerência permite criar alertas para padrões de negociação suspeita e mudanças de configuração.

Como se proteger

Inventarie a exposição. Liste todos os appliances de VPN da Check Point acessíveis pela internet, incluindo gateways, servidores de gerência e Spark Firewalls. Um levantamento de portas e serviços expostos com o Shodan (mecanismo de busca de dispositivos conectados à internet, usado para mapear exposição de serviços e portas) ajuda a achar o equipamento esquecido que ninguém atualizou. Confirme a versão de software e o nível de hotfix de cada um.

Aplique o patch agora. Instale o Jumbo Hotfix Accumulator mínimo da sua versão — R82.10 Take 44+, R82 Take 126+ ou R81.20 Take 166+ — ou ative o LivePatch nos sistemas elegíveis. O NCSC foi explícito: isso é prioridade, não manutenção de rotina.

Reduza a superfície de ataque. Em ambientes Site-to-Site, desligue as regras VPN implícitas e restrinja UDP 500 e UDP 4500 aos IPs de peers conhecidos. Reavalie também se a interface de gerência precisa estar acessível pela internet — na maioria dos casos, não precisa.

Monitore a negociação e os certificados. Revise os logs de handshake IKE e de processamento de certificados em busca de origens anômalas, falhas repetidas e erros de decodificação. Centralize os eventos no SIEM e crie alertas para padrões suspeitos antes, durante e depois da conexão.

Prepare a resposta a incidentes. Tenha um plano para o pior caso: como isolar um gateway comprometido, rotacionar credenciais e chaves de VPN, coletar evidências e restaurar a partir de um backup confiável. Um appliance já comprometido continua sob controle do atacante mesmo depois do patch.

Conclusão

Duas falhas críticas em VPNs de borda, ambas com CVSS 9.8, ambas exploráveis sem credenciais, uma delas atingindo também o servidor de gerência — e uma agência de segurança nacional dizendo publicamente que espera exploração em larga escala em breve. A combinação é a receita clássica dos incidentes que dominaram o segundo semestre de 2026: infraestrutura de borda, patch disponível e tempo curto para reagir.

A honestidade dos fatos precisa ficar registrada: não há exploit público conhecido, não há exploração ativa confirmada e não há vítimas brasileiras documentadas até o momento. O alerta do NCSC é preventivo — mas é preventivo com expectativa alta, baseado em um padrão que se repetiu com Palo Alto, Fortinet, Citrix e a própria Check Point na onda de julho. Os patches existem desde 09/09; a pergunta que resta não é se o exploit vai aparecer, mas se a sua VPN vai estar corrigida quando ele aparecer.

Perguntas frequentes

Fontes e leituras adicionais

• Cyber Security News — NCSC Warns of Critical Check Point VPN Flaws as Large-Scale Exploitation Is Expected — 14/09/2026
• Check Point — Security Bulletin SK182523 — 09/09/2026
• NCSC NL — Kritieke kwetsbaarheden in Check Point VPN-producten met actief misbruik verwacht: update nu — 10/09/2026