Check Point: неизвестную ранее брешь в сервере управления использовали в атаках

Компания Check Point предупредила о том, что ранее неизвестная уязвимость в её Security Management Server была использована в нескольких целевых атаках. По словам разработчика, инциденты произошли ещё 23 июля, а исправление вышло только 22 сентября.

Ошибка в сервере управления

Уязвимость получила идентификатор CVE-2026-93616. Это ошибка обхода каталога (path traversal) в веб-службе сервера управления: служба не ограничивает должным образом, к каким файлам и папкам может обратиться запрос. В результате атакующий, имеющий доступ к веб-службе, может загрузить на сервер сценарии и запустить их — причём без прохождения авторизации. По шкале CVSS уязвимости присвоена оценка 9,8 из 10.

Речь идёт о сервере, который управляет политиками межсетевых экранов Check Point. В своём уведомлении компания не называет ни целей июльских атак, ни тех, кто за ними стоит, и не сообщает, что именно делали злоумышленники после проникновения.

Список затронутых версий охватывает целый ряд выпусков — от R82.20 без установленного Jumbo Hotfix до давно снятых с поддержки R80.x. Администраторам предлагается сверить версию и уровень обновления своего сервера с этим перечнем, установить исправление из статьи поддержки sk1000171 и воспользоваться приведёнными там указаниями по поиску следов атаки. Отдельно подчёркивается: установка обновления не покажет, был ли сервер скомпрометирован ранее.

Атаки на межсетевые экраны Spark

Параллельно Check Point сообщила о попытках эксплуатации другой уязвимости — CVE-2026-85102, закрытой ещё 9 сентября. Атаки начались 12 сентября и нацелены на клиентов линейки Spark — межсетевых экранов для малого бизнеса. На момент выхода исправления признаков эксплуатации не было.

Ошибка кроется в проверке сертификатов при установлении VPN-соединения и может позволить неавторизованному злоумышленнику выполнить код на шлюзе. По данным компании, попытки исходили из анонимизирующей инфраструктуры — VPN-сервисов и прокси — и использовали сертификаты с характерными именами вроде CN=vpn или CN=vpnuser. Список неполный, поэтому администраторам рекомендуют проверять журналы на любые необычные входы по сертификатам, а также следить за действиями подозрительных пользователей Mobile Access — те нередко сканируют внутренние порты и службы.

Для шлюзов, которые пока нельзя обновить, предлагается временная мера: отключить неявные правила VPN и разрешить UDP-порты 500 и 4500 только с конкретных доверенных адресов. К локально управляемым Spark этот обходной путь не применяется. Подробности — в статье sk1000117.

Источник: The Hacker News