Check Point подтвердила атаки через RCE-уязвимость в VPN Security Gateway

Компания Check Point подтвердила, что злоумышленники активно эксплуатируют уязвимость CVE-2026-85102 — преаутентификационную возможность удалённого выполнения кода (RCE) в механизме обработки VPN-сертификатов продукта Security Gateway.

То же уведомление предупреждает и о второй бреши — CVE-2026-93616. Это преаутентификационный обход каталога в веб-службе Management, позволяющий выполнять сценарии и загружать классы Java. По данным Check Point, эту уязвимость эксплуатировали как «нулевой день» с 23 июля.

Хронология

Ещё 10 сентября голландский центр кибербезопасности NCSC предупредил о проблеме в Security Gateway и призвал установить доступные обновления, ожидая скорых атак. Check Point теперь подтвердила, что вредоносная активность началась 12 сентября: атакующие маскировали своё местоположение через VPN-сервисы и прокси.

«Начиная с 12 сентября 2026 года мы наблюдали волну попыток эксплуатации против клиентов Spark», — говорится в предупреждении компании. Использовались сертификаты со следующими субъектами: CN=vpn,OU=users,O=global, CN=vpn-user,OU=users,O=global и CN=vpnuser,OU=users,O=global. При этом компания уточнила, что перечень отражает лишь текущие наблюдения и в ходу могут быть и другие значения.

Американское агентство CISA внесло обе уязвимости в каталог известных эксплуатируемых уязвимостей (KEV) и предписало федеральным ведомствам установить исправления или меры защиты до 25 сентября 2026 года.

Что делать

Check Point рекомендует установить LivePatch Take 26 на поддерживаемые шлюзы R81.20, R82 или R82.10 либо соответствующий Jumbo Hotfix (R81.20 Take 166, R82 Take 126, R82.10 Take 44, R81.10 Take 190 или новее). Межсетевые экраны Spark следует обновить до R82.00.10 Build 2325 или R81.10.17 Build 4968 и выше. Проверить, активен ли LivePatch, можно командой cpinfo -y CPupdates в режиме expert; клиентам, ранее установившим офлайн-пакет LivePatch, для полного покрытия требуется именно Take 26.

Если обновление невозможно, компания советует отключить неявные правила VPN и создать явные правила, ограничивающие Site-to-Site VPN по UDP/500 и UDP/4500 конкретными IP-адресами партнёров. Для Remote Access VPN следует разрешить только необходимые службы по UDP/500, UDP/4500, TCP/443 и TCP/80 и по возможности ограничить диапазоны исходных IP-адресов клиентов. Эти меры не применимы к локально управляемым межсетевым экранам Spark.

Источник: Bleeping Computer