O gateway precisa ler o certificado antes de saber quem é você

Existe uma diferença prática entre uma falha em um painel administrativo e uma falha no handshake. O painel você consegue esconder: coloca atrás de bastião, restringe por IP de origem, exige VPN para chegar nele. O handshake não dá para esconder, porque o handshake é o serviço. Um concentrador de VPN corporativa existe para aceitar conexão de quem está fora, de um IP que você não conhece, em um horário que você não controla.

É aí que essas duas ficam.

Por que o certificado é processado antes de qualquer decisão sobre confiança

A sequência é a seguinte. O cliente abre a conexão, o gateway e o cliente trocam certificados, cada lado decodifica o que recebeu, valida cadeia e identidade, e só depois de tudo isso o gateway sabe se está falando com um funcionário, com outro escritório ou com alguém que apenas apontou uma ferramenta para o endereço público.

Para chegar à etapa de decidir, o produto precisa antes interpretar bytes que vieram de um desconhecido. Certificado X.509 é codificado em ASN.1, uma estrutura aninhada, com campos de tamanho variável, campos opcionais e extensões que o próprio padrão permite que sejam arbitrárias. O parser precisa ser tolerante o bastante para aceitar o que existe no mundo real e rígido o bastante para não se perder quando o conteúdo é hostil. É um dos lugares mais difíceis de acertar em software de rede, e por isso é um dos lugares onde falha desse tipo reaparece década após década, em fornecedor após fornecedor.

Identificador	Natureza	Onde aparece
CVE-2026-85102	Validação inadequada de dados de certificado na negociação da VPN, CVSS 9.8	Security Gateway e Spark Firewall com Site to Site VPN ou Remote Access VPN ativos.
CVE-2026-85103	Estouro de heap na decodificação ASN.1 do certificado, CVSS 9.8	Security Gateway, Spark Firewall e também o Security Management Server.

A segunda linha merece um segundo de atenção. O Security Management Server não é o equipamento que fica na borda; é o console que escreve a política de todos os gateways do parque. Quando uma falha de parsing alcança os dois, a superfície deixa de ser apenas o ponto de entrada e passa a incluir o lugar onde as regras são definidas.

O aviso veio antes da exploração, e isso é incomum

Na maior parte dos casos que esta coluna cobre, a ordem é inversa: alguém detecta atividade, o fornecedor confirma, a agência publica o alerta e o prazo já nasce vencido. Aqui o NCSC holandês emitiu o aviso com base em avaliação de risco, não em incidente observado. Não há PoC circulando, não há relato de vítima, não há indicador para caçar.

Isso produz uma sensação enganosa de folga. A janela entre a publicação do patch e o primeiro exploit funcional para esse tipo de produto vem encurtando de forma consistente, e concentrador de VPN é alvo prioritário porque quem escreve o exploit sabe exatamente o que encontra do outro lado: rede interna, sem inspeção, com uma sessão que a própria organização classificou como legítima.

A ausência de PoC público também não significa ausência de exploração privada. Significa apenas que ninguém publicou.

O que muda para quem opera no Brasil

Dois detalhes locais valem a menção.

• Spark é equipamento de filial. A linha atinge desde o gateway do data center até o appliance pequeno que fica na loja, na agência ou no escritório regional. O primeiro tem janela de manutenção e responsável nomeado. O segundo costuma ter sido instalado por um integrador em 2022 e nunca mais recebeu visita.
• Site to Site liga quem você não administra. O túnel permanente com a transportadora, com o birô de folha, com a operadora de cartão é exatamente o cenário afetado pela CVE-2026-85102. E o outro lado do túnel não é seu.
• Desligar a VPN não é opção de mitigação. Em produto de perímetro, a recomendação usual de desabilitar o recurso vulnerável esbarra no fato de que o recurso vulnerável é o motivo pelo qual o equipamento foi comprado.

Leitura LATAMSEC

Três perguntas, na ordem em que fazem diferença.

Se você opera Check Point: a pergunta não é se o patch foi aplicado no gateway principal. É quantos equipamentos da linha existem no inventário, incluindo Spark em filial, e qual a versão de cada um. Se a resposta vier de uma planilha atualizada manualmente, ela está errada em algum ponto — a questão é apenas em qual.

Para quem responde pela borda: depois de atualizar, revise as sessões VPN ativas e os túneis site a site estabelecidos. Falha pré-autenticação não deixa registro de login falho, porque não houve tentativa de login. O rastro, quando existe, está em processo que reiniciou, em consumo de memória fora do padrão e em conexão que fechou de forma anômala durante a negociação.

Para o comitê de risco: quanto tempo leva, hoje, entre o fornecedor publicar uma correção crítica de borda e a última unidade do parque estar atualizada? Se a resposta for medida em semanas, o aviso do NCSC não é sobre a Check Point. É sobre o próximo fornecedor de perímetro que publicar uma nota parecida.