Check Point Konfirmasi CVE-2026-85102 Aktif Dieksploitasi untuk RCE pada VPN

Check Point mengonfirmasi bahwa kerentanan kritis CVE-2026-85102 pada Security Gateway telah aktif dieksploitasi oleh pelaku ancaman. Kerentanan tersebut merupakan pre-authentication remote code execution (RCE) yang berada pada fungsi penanganan sertifikat VPN.

Eksploitasi memungkinkan penyerang melakukan serangan sebelum autentikasi berhasil dilakukan, sehingga kerentanan menjadi perhatian serius bagi organisasi yang menggunakan Check Point Security Gateway sebagai pintu akses VPN ke jaringan internal.

Dalam advisory yang sama, Check Point juga memperingatkan adanya eksploitasi terhadap CVE-2026-93616, yaitu kerentanan pre-authentication path traversal pada Management Web Service yang dapat memungkinkan eksekusi script dan pemuatan Java class.

CVE-2026-85102 Dieksploitasi Sejak 12 September

Check Point mengatakan aktivitas eksploitasi terhadap CVE-2026-85102 mulai terdeteksi pada 12 September 2026.

Sebelumnya, pada 10 September, lembaga keamanan siber Belanda Nationaal Cyber Security Centrum (NCSC) telah memperingatkan bahwa eksploitasi terhadap kerentanan Security Gateway tersebut diperkirakan akan segera terjadi dan meminta pengguna memasang pembaruan keamanan yang tersedia.

Beberapa hari kemudian, Check Point mengonfirmasi bahwa prediksi tersebut telah terealisasi.

Dalam gelombang serangan yang diamati, pelaku menargetkan pelanggan Spark dan menggunakan infrastruktur anonymization seperti VPN dan proxy untuk menyamarkan lokasi sumber serangan.

Penggunaan layanan VPN dan proxy membuat pelacakan asal sebenarnya dari trafik serangan menjadi lebih sulit.

Sertifikat VPN Digunakan dalam Aktivitas Serangan

Check Point menemukan sejumlah subject certificate yang digunakan dalam aktivitas eksploitasi yang diamati.

Beberapa subject yang teridentifikasi adalah:

• CN=vpn,OU=users,O=global
• CN=vpn-user,OU=users,O=global
• CN=vpnuser,OU=users,O=global

Check Point menegaskan bahwa daftar tersebut hanya mencerminkan observasi saat ini. Pelaku dapat menggunakan subject certificate lain dalam aktivitas berikutnya.

Karena itu, administrator tidak sebaiknya menjadikan ketiga subject tersebut sebagai satu-satunya indikator kompromi.

Pemeriksaan log dan aktivitas VPN secara menyeluruh tetap diperlukan, terutama pada gateway yang menggunakan konfigurasi dan versi yang terdampak.

CISA Masukkan Dua Kerentanan ke KEV

CVE-2026-85102 dan CVE-2026-93616 kini juga telah masuk ke Known Exploited Vulnerabilities (KEV) Catalog milik Cybersecurity and Infrastructure Security Agency (CISA).

Lembaga tersebut meminta badan pemerintah federal sipil Amerika Serikat menerapkan perbaikan atau mitigasi yang tersedia paling lambat 25 September 2026.

Masuknya kedua kerentanan ke katalog KEV terjadi setelah adanya bukti eksploitasi di dunia nyata.

Bagi organisasi yang menggunakan Check Point Security Gateway, status tersebut menjadi alasan tambahan untuk segera memeriksa versi perangkat, patch yang telah diterapkan, serta aktivitas VPN dan Management Web Service.

CVE-2026-93616 Juga Menjadi Target Serangan

Selain CVE-2026-85102, Check Point juga memperingatkan tentang CVE-2026-93616.

Kerentanan tersebut merupakan pre-authentication path traversal pada Management Web Service. Dalam kondisi tertentu, celah ini dapat memungkinkan penyerang menjalankan script dan memuat Java class.

Berbeda dengan CVE-2026-85102 yang baru dikonfirmasi aktif dieksploitasi pada September, Check Point mengatakan CVE-2026-93616 telah dieksploitasi sebagai zero-day sejak 23 Juli 2026.

Kombinasi keberadaan dua kerentanan pada komponen penting infrastruktur keamanan membuat administrator perlu memeriksa kedua advisory secara terpisah dan memastikan seluruh mitigasi yang relevan telah diterapkan.

Check Point Menyediakan Beberapa Pilihan Perbaikan

Untuk CVE-2026-85102, Check Point merekomendasikan administrator memasang LivePatch Take 26 pada Security Gateway yang didukung, termasuk gateway dengan versi R81.20, R82, atau R82.10.

Alternatifnya adalah memasang Jumbo Hotfix yang sudah diperbaiki:

Versi	Fixed Take
R81.20	Take 166 atau lebih baru
R82	Take 126 atau lebih baru
R82.10	Take 44 atau lebih baru
R81.10	Take 190 atau lebih baru

Untuk pelanggan yang menggunakan Spark firewall, Check Point merekomendasikan pembaruan ke:

• R82.00.10 Build 2325 atau lebih baru
• R81.10.17 Build 4968 atau lebih baru

Administrator juga disarankan memastikan LivePatch benar-benar aktif setelah pemasangan.

Status LivePatch dapat diperiksa dengan menjalankan perintah berikut pada Security Gateway dalam expert mode:

cpinfo -y CPupdates

Check Point juga mengingatkan bahwa sebagian pelanggan yang sebelumnya memasang paket offline LivePatch masih membutuhkan Take 26 untuk mendapatkan cakupan perlindungan penuh.

Mitigasi Jika Patch Belum Bisa Dipasang

Jika pembaruan belum dapat diterapkan, Check Point menyediakan langkah mitigasi untuk mengurangi risiko eksploitasi.

Untuk Site-to-Site VPN, administrator dapat menonaktifkan VPN implied rules dan membuat explicit rules yang membatasi koneksi VPN hanya dari peer IP yang telah ditentukan.

Port yang perlu diperhatikan antara lain:

• UDP/500 untuk IKE.
• UDP/4500 untuk IPsec NAT-T.

Untuk Remote Access VPN, administrator disarankan hanya mengizinkan layanan yang memang diperlukan melalui:

• UDP/500.
• UDP/4500.
• TCP/443.
• TCP/80, jika memang diperlukan.

Rentang IP sumber klien juga sebaiknya dibatasi sejauh memungkinkan.

Pembatasan tersebut dapat mengurangi permukaan serangan dengan memastikan layanan VPN tidak terbuka secara lebih luas dari kebutuhan operasional.

Namun, Check Point menegaskan bahwa langkah mitigasi tersebut tidak berlaku untuk Spark firewall yang dikelola secara lokal.

Administrator Perlu Memeriksa Aktivitas VPN

Karena eksploitasi telah berlangsung, administrator tidak sebaiknya hanya memasang patch tanpa melakukan pemeriksaan tambahan pada sistem yang sebelumnya terekspos.

Aktivitas VPN yang mencurigakan, koneksi dari infrastruktur anonymization, sertifikat yang tidak dikenal, serta perubahan konfigurasi yang tidak biasa perlu diperiksa.

Untuk organisasi yang menemukan indikasi kompromi, log terkait koneksi VPN dan Management Web Service dapat membantu menentukan apakah gateway telah menjadi target eksploitasi.

Khusus untuk CVE-2026-93616, Check Point juga menyediakan panduan tambahan untuk melakukan mitigation dan threat hunting terhadap aktivitas yang berkaitan dengan Management Web Service.

Security Gateway yang Terhubung ke Internet Perlu Segera Diperiksa

CVE-2026-85102 merupakan kerentanan yang perlu mendapat perhatian khusus karena berada pada fungsi VPN dan dapat digunakan untuk remote code execution sebelum autentikasi.

Aktivitas eksploitasi telah dikonfirmasi sejak 12 September 2026, sementara CVE-2026-93616 telah dieksploitasi sebagai zero-day sejak Juli.

Administrator Check Point sebaiknya segera memeriksa seluruh Security Gateway dan Spark firewall yang digunakan, memastikan versi serta hotfix sudah sesuai, kemudian melakukan pemeriksaan log apabila perangkat sebelumnya dapat diakses dari internet.

Jika patch belum dapat diterapkan, pembatasan akses VPN berdasarkan peer IP dan sumber klien dapat digunakan sebagai langkah mitigasi sesuai rekomendasi Check Point. Namun, mitigasi tersebut sebaiknya tidak menggantikan pemasangan pembaruan keamanan permanen ketika sudah tersedia.

Sumber: Check Point