Introducción
El 9 de septiembre de 2026, Check Point publicó con carácter de urgencia los parches para dos vulnerabilidades críticas en sus gateways VPN. Cuatro días después, el 13 de septiembre, el Centro Nacional de Ciberseguridad neerlandés (NCSC) emitió una alerta pública: la explotación masiva era inminente y una proporción significativa del parque instalado permanecía sin parchear.
Ese intervalo de cuatro días —entre la disponibilidad del correctivo y el aviso de un regulador nacional— no es un dato menor. Pone directamente en cuestión la madurez de los procesos de gestión de parches en las organizaciones que operan equipos de red críticos.
Dos vulnerabilidades, puntuación máxima
Ambas vulnerabilidades, identificadas como CVE-2026-85102 y CVE-2026-85103, obtuvieron una puntuación CVSS de 9,8 sobre 10. La primera afecta la validación de datos de certificado durante la negociación VPN y permite a un atacante no autenticado ejecutar código arbitrario en una Quantum Security Gateway. La segunda es un desbordamiento de búfer en el decodificador ASN.1 de certificados, explotable en Security Gateways, Security Management Servers y equipos de la gama Quantum Spark.
Las versiones afectadas comprenden las ramas R81.20, R82 y R82.10 por debajo de los umbrales corregidos (Take 166, Take 126 y Take 44, respectivamente), así como diversas versiones anteriores ya sin soporte. A la fecha de publicación, no se ha confirmado explotación activa en entornos reales, pero el NCSC es explícito: es solo cuestión de tiempo.
La pregunta que su dirección TI debe responder
El reto técnico inmediato está claro: aplicar los parches disponibles y restringir los accesos UDP 500 y 4500 exclusivamente a las direcciones IP de confianza mientras se completa la actualización. Check Point también ofrece un LivePatch para los entornos que no pueden permitirse una interrupción de servicio.
Pero más allá del parche en sí, hay una pregunta organizativa que demasiadas direcciones TI no tienen formalizada: ¿es su equipo capaz de desplegar un parche de emergencia sobre un componente de red crítico en menos de 48 horas, sin generar una interrupción de servicio no planificada?
En los VPN de acceso remoto, la respuesta raramente es afirmativa por defecto. Estos equipos suelen tratarse como infraestructura estable, con ciclos de actualización largos y fuera del flujo habitual de gestión de parches. Precisamente por eso se convierten en blancos preferentes: están expuestos a Internet, con frecuencia poco monitorizados, y su mantenimiento exige una coordinación entre los equipos de red, seguridad y negocio que no siempre está bien engrasada.
NIS2 y la obligación de reactividad
La directiva NIS2, transpuesta al ordenamiento jurídico nacional desde principios de 2025, impone a las entidades esenciales e importantes una gestión activa de vulnerabilidades dentro de sus medidas de ciberseguridad. Esto incluye la capacidad de gestionar parches críticos en plazos proporcionales al nivel de riesgo; para un CVSS de 9,8 con explotación inminente anunciada, ese plazo no se mide en semanas.
Los equipos VPN figuran con notable frecuencia en el perímetro NIS2 de organizaciones industriales, proveedores de servicios digitales y operadores de infraestructuras críticas. Un retraso en el despliegue ya no es únicamente un riesgo técnico: es una desviación de cumplimiento documentable que puede alimentar un expediente en caso de incidente.
Qué implica esto en la práctica
El incidente de Check Point representa una oportunidad para validar el proceso antes de que sea la explotación real quien lo ponga a prueba. Algunos puntos de control inmediatos: verificar el inventario exacto de versiones desplegadas, confirmar que el procedimiento de despliegue LivePatch o Jumbo Hotfix está documentado y es ejecutable bajo presión, y asegurarse de que las restricciones de acceso VPN a IPs de confianza están activadas mientras se completa la actualización.
La ventana de vulnerabilidad abierta hoy no permanecerá abierta indefinidamente. La cuestión es si sus procesos estarán listos para cerrarla antes de que alguien decida cruzarla.