Check Point VPNの脆弱性は悪用の危険大、蘭NCSCが警告：CVE-2026-85102、CVE-2026-85103

Check Point VPNの重大な脆弱性は悪用の危険大、蘭NCSCが注意を呼びかけ（CVE-2026-85102、CVE-2026-85103）

BleepingComputer – September 12, 2026

オランダの国立サイバーセキュリティセンター（NCSC-NL）は10日、企業向けソリューションのCheck Point VPNに存在する2件の重大な脆弱性について警告を発し、それぞれ攻撃で悪用される危険性が高まっているとして注意を呼びかけた。

これらの脆弱性はCVE-2026-85102、CVE-2026-85103として追跡されており、悪用されるとシステムを完全に制御されたり、攻撃者に機密データを閲覧・改ざんされる、あるいは業務を妨害される恐れがあるという。9日にはCheck Pointから修正パッチがリリースされたほか、詳細を記した個別のセキュリティアドバイザリ（sk1000117、sk1000118）も公開されている。

CVE-2026-85102はVPNネゴシエーション中の証明書データの検証不備に起因し、リモートの攻撃者が悪用するとSecurity Gateway上で任意のコードを実行できるようになる。一方のCVE-2026-85103はVPN証明書のASN.1デコーダーにおけるヒープオーバーフローの脆弱性とされ、Security GatewayおよびSecurity Management Server上でリモートコード実行が可能になるそうだ。

現時点で公開されているPoCコードはないが、NCSC-NLは「悪用の可能性および潜在的な影響は高いと評価しており、近い将来、悪用が試みられると予想される」と述べ、可能な限り早急にセキュリティアップデートを適用するよう推奨している。

なお、Check Pointのコミュニティフォーラムへの投稿によると、Check Point Live Patch（CPLP）のユーザーは9日以降、上記2件の脆弱性に対する保護策がすべて適用され、サーバーを再起動することなく修正が反映されるようだ。

Revolut、政府機関のメールアドレスを悪用した詐欺師に顧客データを提供

CyberInsider – September 13, 2026

英フィンテック企業Revolutが正規の政府機関ドメインを使った不正な情報開示請求に応じてしまい、顧客の個人情報や財務情報を開示したと報じられている。

このインシデントは、影響を受けた顧客にRevolutから送られた通知がTelegramで共有されたことで公になった模様。その後にCyber​​InsiderがRevolutに連絡し、本件に関する詳細を確認したとされている。Revolutは「巧妙な外部なりすまし詐欺を特定した。権限のない第三者が正規の政府機関ドメインのメールを使用し、不正な情報開示請求を行った」と認めたものの、自社システムや顧客の資金が侵害されたわけではないと述べている。

共有された通知によると、不正請求は正規の政府機関から発信されたように見えるもので、当該機関のメールドメインに関連する通常の技術的チェックも通過していたそう。そのため、Revolutがこれを正規政府機関からの情報開示請求と判断し、要求に応じてしまったと説明されている。同社はモバイルプラットフォームを通じてデジタルバンキングや決済、暗号資産取引といった金融サービスを提供しており、その他の規制対象金融機関と同様、法執行機関や政府機関からの正当な顧客情報開示請求に応じる義務があるという。

流出した情報は広範囲に及び、氏名、生年月日、職業、住所、メールアドレス、電話番号、パスポートや運転免許証など身分証の写し、本人確認用の顔写真、金銭関連データが含まれていたようだ。Revolutは影響を受けたユーザーに対し、生体認証用の顔データは含まれず、流出もしていないと説明している。

調査が継続中であることから、Revolutは関与した政府機関や部署の特定を控えている。また、影響を受けた顧客の正確な人数を公表していないが、ごく限定的とされている。