先說結論：使用 Check Point Security Gateway 或 Spark Firewall VPN 的單位，應核對 CVE-2026-85102 的修補是否真正套用。Check Point 說這項弱點與 VPN 協商時的憑證資料驗證不當有關，可能讓未登入遠端攻擊者執行程式碼。原廠表示 2026 年 9 月 9 日已提供修補，9 月 22 日更新警示時已觀察到針對 Spark 客戶的利用嘗試；CISA 同日加入已知遭利用漏洞目錄。本文於 10 月 4 日重新查核官方來源，提醒管理員區分原廠已發布更新、設備實際已安裝，以及是否需要調查過往可疑 VPN 活動。
背景與前因：VPN 是讓外部設備透過加密通道接入組織網路的功能，閘道位在大量遠端連線的入口。數位憑證用來輔助驗證身分與建立信任，處理時若沒有充分檢查資料，風險可能發生在操作者登入之前。Check Point 九月二十二日的公告同時討論另一個管理伺服器弱點 CVE-2026-93616；本篇只聚焦 VPN 憑證驗證，不把管理介面的路徑問題混入。早在九月九日提供修補，並不等於所有裝置九月九日就自動完成更新。
原因與前置條件：原廠將 CVE-2026-85102 描述為 VPN 協商期間憑證資料驗證不當，可能導致未經驗證的遠端程式碼執行。白話說，設備原本應檢查傳入的憑證資料是否符合規則，錯誤處理會使外部請求跨越預期安全邊界。CISA 的 KEV 也把它列為受影響閘道與 Spark 防火牆的弱點。公開來源沒有支持逐步重現攻擊或推斷每個 VPN 使用者帳號已被盜；本文不提供憑證內容、網路封包或測試指令。處置應以原廠版本與實際告警紀錄為依據。
影響範圍：Check Point 的九月公告列出 Security Gateway，以及中央管理與本地管理的 Spark Firewall，並列出多個 R81 和 R82 系列版本。不同分支的 Jumbo Hotfix、LivePatch 與離線套件路徑不同，不能把一個通用版號強套全部設備。原廠特別指出部分曾安裝離線 LivePatch 且停在較早 Jumbo Hotfix 的客戶，需要額外核對更新過的修補組合。管理員應依各設備目前分支查看原廠最新支援文件和實際修補狀態；產品名稱相近的 Security Management 伺服器則屬另一 CVE 的處置範圍。
這個事件至少有兩個需要分開閱讀的官方時間點。Canadian Centre for Cyber Security 在 2026-09-22 公開與 CVE-2026-85102 相關的產品資訊；CISA 於 2026-09-22 將同一編號收錄於已知遭利用漏洞目錄。後者又稱 KEV，是政府用來標示已有利用證據、應提高處置優先級的公開清單。收錄日期不等於漏洞首次出現，也不會替任何單一單位證明資產已被攻破。本文在 2026-10-04 重新取得兩份來源，將原始事件與本次查核日期分開標示。
風險判斷應回到具體產品與部署條件。兩份來源沒有提供每個讀者網路的攻擊紀錄，也沒有證明所有 Check Point 產品受相同憑證驗證問題影響。即使漏洞已列入 KEV，也不能把全球的利用證據直接寫成讀者所在環境的事件報告；相反地，沒有看到本地告警同樣不足以保證從未有人嘗試存取。應先確認自己是否真正使用 Check Point Security Gateway 與 Spark Firewall VPN，再把版本、可達性、服務角色和可用的紀錄放在同一個判斷框架內，避免只憑產品名稱或嚴重度分數作結論。
你可以怎麼做：先從防火牆與 VPN 資產清單列出對外提供遠端存取的閘道、Spark 裝置、叢集成員及目前分支，回讀已安裝的 Jumbo Hotfix 或 LivePatch 狀態。依 Check Point 的原廠安全文件選擇適用修補，變更後實測合法 VPN 登入與關鍵連線，並再次確認修補號。若裝置已出現異常登入或後續網路活動，應保存 VPN、閘道及周邊網路紀錄，交由事件應變人員評估，不把更新完成當成過往活動已調查完畢。
盤點時可以把每一個VPN 閘道與 Spark 裝置寫成可追蹤的一列：產品與型號、目前版本、部署位置、管理責任人、對外或對內的可達性、資料最後確認時間，以及是否另有備援、測試或長期離線的副本。集中管理平台的清單可能漏掉尚未回報的設備，資產標籤也可能與實際運行版本不同；因此重要節點應由現場或受信任的管理介面再核對。把例外與期限記在同一份紀錄，比口頭說『都已檢查』更能支援後續複查。
修補完成的判斷不能只停在工單或下載紀錄。安排VPN 安全修補之前，先按既有維運程序保存必要設定、確認支援與相容性，並準備回復方案；完成後從實際提供服務的節點讀取版本或修補狀態，測試最重要的正常工作流程。若同一服務有多個節點，應逐一驗證，避免流量切換後又落回未更新的副本。原廠日後可能更改修補路徑，本文記錄的是本次查核時可取得的官方資訊，更新工作仍應以最新公告為準。
事件應變和版本更新雖然相關，卻不是同一個檢查。版本落後足以支持儘快修補，未必證明曾遭利用；完成更新降低後續暴露，也不能倒推過去絕無異常。若既有監控出現可疑跡象，應保存原始日誌、時間線及必要的組態差異，交由有權限的資安或維運人員依組織流程判讀。公開文章不應包含任何真實憑證、個資、內部位址或可操作的利用步驟，以免在通報風險時增加新的暴露。
Check Point 表示從九月十二日起觀察到一波對 Spark 客戶的利用嘗試，並建議檢查異常的憑證式 Mobile Access 登入與登入後活動。原廠公布的觀察樣本不是完整黑名單，不能只比對幾個字串就宣稱無風險。這類 VPN 事件的實際影響高度依賴閘道角色、遠端使用者範圍和後續內部存取；有警訊時可先封存日誌與時間線，再按組織程序確認是否需要隔離或更換信任材料。未看到警訊仍要完成修補與版本回讀。
仍須由使用單位自行回答的問題是：目前有多少VPN 閘道與 Spark 裝置、哪些仍在受影響版本、VPN 安全修補是否覆蓋正式與備援環境，以及保留的紀錄能否支持事件調查。Canadian Centre for Cyber Security 與 CISA 的公開資料提供產品界線和優先處置訊號，卻不能替每個現場完成資產盤點。若無法取得相應修補或環境已停止安全支援，應向供應商確認替代方案並記錄風險處置，不把臨時隔離措施描述成漏洞已經修復。
這篇補刊聚焦 CVE-2026-85102，原廠事件日期為 2026-09-22，CISA KEV 收錄日為 2026-09-22，兩個官方來源在 2026-10-04 重新查核。可交付的工作是確認 Check Point Security Gateway 與 Spark Firewall VPN 的實際部署範圍、按原廠指引完成VPN 安全修補、回讀結果並追蹤例外。公開公告支持修補優先級，並不等於任一特定讀者已遭入侵或資料外洩；最終影響仍須由現場證據和專業調查判定。
官方來源：
- Check Point security advisory (AV26-902) – Update 2（Canadian Centre for Cyber Security）
- Known Exploited Vulnerabilities Catalog — CVE-2026-85102（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。