Критическая уязвимость в Check Point открывает root-доступ к серверам управления

Компания Check Point Software выпустила исправления для критической уязвимости, которая позволяет злоумышленникам выполнять произвольный код с правами root на системах управления.

В чём суть проблемы

Уязвимость получила идентификатор CVE-2026-91843 и связана с переполнением буфера в стеке, возникающим на этапе входа в систему на экземплярах Security Management Server. Эти серверы управляют шлюзами безопасности (межсетевыми экранами) и отслеживают события сетевой безопасности. Проблема затрагивает и Log Server — выделенный сервер, который собирает и хранит журналы, генерируемые межсетевыми экранами Check Point.

Успешная эксплуатация даёт злоумышленнику без каких-либо привилегий возможность удалённого выполнения кода с правами root. При этом атака имеет низкую сложность и не требует взаимодействия с пользователем. По заявлению компании, уязвимы все развёртывания Security Management Server независимо от конфигурации — в том числе когда VPN не используется и не настроен.

Как защититься

Для тех, кто не может сразу установить свежий LivePatch, Check Point предложила временные меры: усиление защиты уязвимых систем и ограничение доступа доверенными IP-адресами и подсетями. Соответствующие настройки задаются в консоли SmartConsole в разделе Manage & Settings → Permissions & Administrators → Trusted Clients.

Признаков активной эксплуатации CVE-2026-91843 пока не зафиксировано. Тем не менее компания подсказала, как выявить попытки атаки: в журналах аудита и входа администраторов стоит искать оповещения вида «Administrator failed to log in: Username too long».

Череда критических дыр

Эта уязвимость — не единственная за последнее время. Неделей ранее Check Point закрыла ещё одну критическую RCE-уязвимость (CVE-2026-85103), связанную с переполнением кучи при декодировании ASN.1 в процессе обработки VPN-сертификатов, а также вторую (CVE-2026-85102), позволявшую неаутентифицированным злоумышленникам обойти проверку и выполнить код на межсетевых экранах.

Некоторые прежние бреши уже эксплуатировались в реальных атаках. Так, обход аутентификации CVE-2026-50751 использовался аффилиатом вымогателя Qilin с июня, а другой аналогичный zero-day (CVE-2026-16232) — как минимум с июля для входа с правами администратора в панели SmartConsole. Национальный центр кибербезопасности Нидерландов (NCSC-NL), в свою очередь, призвал организации в приоритетном порядке закрыть уязвимости CVE-2026-85102 и CVE-2026-85103, ожидая скорого начала их эксплуатации.

Источник: Bleeping Computer