Check Pointのファイアウォール／VPN製品に、認証なしで遠隔からコードを実行されるおそれがある脆弱性が2件（CVE-2026-85102、CVE-2026-85103。いずれもCVSS 9.8）公表されました。VPNの証明書を処理する部分の欠陥で、Security Gatewayだけでなく管理サーバや中小企業向けのSpark Firewallも対象です。現時点で悪用は確認されていませんが、Check Point製品では6月・7月と悪用される脆弱性が続いており、今回も早めのJumbo Hotfix適用が必要です。サポート終了版（R80〜R81.10）には修正版がありません。
この記事でわかること
- 2件の脆弱性の中身と、影響を受ける製品・バージョン
- Live PatchとJumbo Hotfixの違い（Live Patchは暫定措置）
- 「VPNを使っていないから関係ない」と言えない理由
- 6月から続くCheck Point製品の脆弱性の流れと、情シスが確認すべきこと
Check Point Quantum／Spark Firewallとは何か
Check Point Quantum Security Gatewayとは、イスラエルのCheck Point Software Technologiesが提供する企業向けのファイアウォール兼VPNゲートウェイです。専用OS「Gaia」で動き、本社やデータセンターの出入口、拠点間VPN（Site-to-Site VPN）、テレワーク用のリモートアクセスVPNなどに使われます。複数のゲートウェイを集中管理するのが「Security Management Server」です。
見落としやすいのがSpark Firewallです。Check Pointは従業員1,000人までの中小企業向け製品と位置づけており、最新の2500シリーズは運用委託先（MSP）によるマルチテナント管理も売りにしています。支店・店舗・グループ会社の回線に販売店や保守業者が設置した小型機器がSparkだった、ということもありえます。「本社のファイアウォールは他社製だから関係ない」と即断せず、拠点機器や委託先が管理している機器の型番も確認してください。クラウド上でゲートウェイを仮想マシンとして動かしている場合も、同じ手順でバージョンを確認しておくと安心です。
何が起きたのか
Check Pointは2026年9月9日（現地時間）にセキュリティアドバイザリ（sk1000117、sk1000118）を公開しました。発見したのはCheck Point自身で、公開時点で悪用の兆候は確認されていないとしています。
| CVE | CVSS v3.1 | 原因 | 影響を受ける製品 |
|---|---|---|---|
| CVE-2026-85102 | 9.8 | VPNネゴシエーション時に、提示された証明書が信頼できるかの検証が不十分（CWE-295） | Security Gateway、Spark Firewall |
| CVE-2026-85103 | 9.8 | VPN証明書のASN.1構造をデコードする処理のヒープバッファオーバーフロー（CWE-122） | Security Gateway、Security Management Server、Spark Firewall |
CVE-2026-85102はリモートアクセスVPNとSite-to-Site VPNの両方が対象です。sk1000117では、VPNネゴシエーションに使うUDP/500・UDP/4500が信頼できないネットワークから到達できることが前提として挙がっています。インターネットに面したVPNゲートウェイは、ほぼこの条件に当てはまります。
影響を受けるバージョンと修正版
| 系列 | 影響 | 修正版（Jumbo Hotfix） |
|---|---|---|
| R82.10 | あり | Take 44以降 |
| R82 | あり | Take 126以降 |
| R81.20 | あり | Take 166以降 |
| R82.20 | なし | — |
| R80〜R81.10（サポート終了） | あり | 提供なし |
| Spark Firewall R82.00.x | あり | R82.00.10 Build 2325以降 |
| Spark Firewall R81.10.x | あり | R81.10.17 Build 4968以降 |
同じR81.20でも、Jumbo HotfixのTake番号が165以下なら脆弱です。「R81.20だから大丈夫」ではなく、Take番号まで確認してください。ゲートウェイ上では fw ver でメジャーバージョン、cpinfo -y all で適用中のJumbo HotfixのTake番号がわかります。
Live Patchを当てれば終わりか？
いいえ。Live Patchは修正版を当てるまでの暫定措置で、本命はJumbo Hotfixの適用です。
Check Pointは今回、「Check Point Live Patch」という仕組みで緊急の修正を9月9日から順次配信しています（R81.20／R82／R82.10向けのバンドルTake 24）。動作中のプロセスにメモリ上で修正を当てるため、再起動なしで適用できます。Live Patchを有効にしている環境は自動で保護される一方、有効にしていない環境には何も届きません。自社の機器でLive Patchが有効か、配信が当たったかを確認し、あらためてメンテナンス枠でJumbo Hotfixを当てる、という2段構えで考えるのが安全です。
VPNを使っていなければ関係ない？
そうとは限りません。CVE-2026-85103はVPN機能ではなく「証明書の処理」の欠陥で、管理サーバも対象です。
報道によれば、Check Pointの担当者はコミュニティ上で「VPNを使っていなくても、VPN用の証明書が存在する環境なら理論上は発火しうる」との見方を示しています。VPNを使っていないゲートウェイや、管理サーバ（Security Management Server）も含めて、バージョンを確認してください。
一時的な回避策と、その限界
すぐに更新できない場合、Check PointはSite-to-Site VPN向けの回避策として、VPN用の暗黙ルール（implied rules）を無効にし、UDP/500とUDP/4500を相手拠点のIPアドレスに限定して明示的に許可する方法を示しています。
ただし、これは接続元が決まっている拠点間VPNだからこそ使える方法です。テレワーク用のリモートアクセスVPNは接続元IPが不特定なので、この方法では絞れません。また、ローカル管理のSpark Firewallには適用できないとされています。リモートアクセスVPNを提供している組織は、実質的に「更新するしかない」と考えてください。
6月から続くCheck Point製品の脆弱性
今回単体では「悪用未確認」ですが、直近3か月の流れを並べると楽観はできません。
| 公表 | CVE | 内容 | 悪用 |
|---|---|---|---|
| 2026年6月 | CVE-2026-50751 | リモートアクセスVPN／Mobile Access（旧式のIKEv1）の証明書検証の不備による認証回避 | 確認済み（数十組織が標的、ランサムウェア攻撃者との関連も報告） |
| 2026年7月 | CVE-2026-16232 | 管理サーバ（SmartConsole）の認証バイパス | 確認済み |
| 2026年9月 | CVE-2026-85102／85103 | VPN証明書処理の未認証RCE | 未確認（自社発見） |
6月も今回も、火種は「VPNで使う証明書の扱い」です。攻撃者はこの部分を狙って調べていますし、修正版が出ればその差分から攻撃手法を割り出されることもあります。7月の件の詳細は「Check Point管理サーバに認証バイパス、悪用中」「SharePoint・Check Point脆弱性、CISAがKEV追加」で解説しています。
現場目線の課題
正直なところ、境界機器の更新は「わかっているのに早く当てられない」作業の代表格です。VPNゲートウェイを止めればテレワークも拠点間通信も止まるので、メンテナンス枠の調整だけで数日かかることは珍しくありません。Live Patchのような無停止の暫定措置は、その間のすき間を埋める意味で歓迎すべき仕組みです。一方で、「自動で守られているはず」と思い込んで本命の更新が後回しになる、という落とし穴もあります。
もう一つ厄介なのが、サポート終了版に修正版が出ない点です。R81.10以前をまだ使っている拠点は、今回を機にアップグレード計画を前倒しするしかありません。予算化に時間がかかる組織ほど、「修正版が出ない版を使い続けている」という事実を早めに上へ報告しておくことをお勧めします。
境界機器は侵入の入口になるため、「悪用未確認」のうちに片付けておきたいところです。IoC（侵害の痕跡）はまだ公表されていないので、VPNゲートウェイ自体のログだけでなく、ゲートウェイを起点とした社内側の不審な認証（Active Directoryのログオン記録など）にも目を向けておくと安心です。
情シスはどうすべきか
- 棚卸し：本社・拠点・グループ会社・委託先管理のCheck Point機器（Spark含む）を洗い出し、バージョンとTake番号を確認する
- 更新：Live Patchの適用状況を確認したうえで、該当系列のJumbo Hotfix（上の表）を適用する。サポート終了版はアップグレードを計画する
- 露出の最小化：Site-to-Site VPNはUDP/500・4500を相手拠点IPに限定する。管理サーバは外部に直接さらさない
VPN機器はランサムウェアの侵入口として繰り返し悪用されています。組織としての備えは、IPAの「ランサムウェア対策特設ページ」がまとまっています。機器の資産管理や脆弱性対応の体制づくりから見直す場合は「中小企業の情報セキュリティ対策ガイドライン」も参考になります。VPN機器の脆弱性は他社製品でも続いているので、「Cisco ASA/FTDにゼロデイ、VPNが落ちるDoS」「Windows IKE脆弱性が悪用中、4月更新の確認を」もあわせてご覧ください。
まとめ
- Check PointのVPN証明書処理に未認証RCEの脆弱性が2件（CVSS 9.8）。Security Gateway・管理サーバ・Spark Firewallが対象で、VPN未使用でも無関係とは言えない
- Live Patchは暫定措置。R81.20はTake 166以降、R82はTake 126以降、R82.10はTake 44以降のJumbo Hotfixが本命。サポート終了版には修正版がない
- 6月・7月は悪用された脆弱性が続いた。「悪用未確認」の今のうちに、拠点や委託先管理の機器まで含めて棚卸しと更新を
出典
- Check Point sk1000117（CVE-2026-85102）
- Check Point sk1000118（CVE-2026-85103）
- Check Point Blog：CVE-2026-50751に関する告知（2026年6月）
- Check Point Blog：CVE-2026-16232に関する告知（2026年7月）
- Check Point：Network Security（Quantum）製品情報
- Check Point Blog：Quantum Spark 2500の紹介
- Security NEXT：Check PointのVPN機能に深刻なRCE脆弱性（2026年9月10日）
- The Hacker News：Check Point Discloses Two 9.8-Rated VPN Certificate Flaws（2026年9月）
